Prévenir les attaques DNS
De nos jours, nous constatons de nombreux types d'attaques DNS contre NxFilter. C'est particulièrement vrai lorsque vous mettez NxFilter sur le nuage. Autrefois, nous n'accordions pas beaucoup d'attention à ce problème, car NxFilter n'avait pas besoin d'être installé dans un nuage.
attention à ce problème car NxFilter est censé se trouver dans un réseau local. Cependant, de plus en plus d'utilisateurs souhaitent exécuter NxFilter
sur le nuage et nous avons également NxCloud qui est destiné aux fournisseurs de services de filtrage basés sur le nuage. Nous voulons donc discuter de certaines caractéristiques que NxFilter et NxCloud
pour prévenir les attaques DNS.
Contrôle d'accès par blocs IP
Vous n'avez pas besoin de fournir votre service à tout le monde. Vous pouvez vouloir accepter des requêtes DNS provenant
de certains pays ou blocs d'adresses IP. Vous pouvez créer votre liste de contrôle d'accès par pays ou blocs IP
et l'ajouter dans DNS > Access Control.
Lorsque votre contrôle d'accès est trop important, votre navigateur ne peut pas afficher tout le contenu. Dans ce cas, il est préférable de créer un fichier 'dns-allow-ip.txt' pour les éléments suivants
'Allowed IP for DNS' et 'dns-block-ip.txt' pour 'Blocked IP for DNS' dans le répertoire /nxfilter/conf. Vous pouvez remplir ces fichiers au même format que dans l'interface
que dans l'interface graphique. Lorsque vous utilisez le clustering, vous devez copier ces fichiers dans tous les nœuds.
Activer l'authentification
NxFilter est un serveur DNS prenant en charge l'authentification de l'utilisateur. Vous devez activer l'authentification de l'utilisateur pour restreindre l'accès des utilisateurs inconnus.
Lorsque vous activez l'authentification, tous les utilisateurs inconnus ou les attaquants potentiels seront redirigés vers la page de connexion.
Désactiver la redirection de connexion
Lorsque vous activez l'authentification de l'utilisateur, NxFilter répondra aux attaques DNS avec sa redirection de connexion ou son adresse IP de redirection de blocage.
Il n'y a donc pas de requêtes en amont ni de traitement supplémentaire. Cependant, les attaquants pensent toujours qu'il y a un serveur DNS à attaquer car ils obtiennent quand même une réponse.
une réponse de toute façon. Pour cacher complètement votre serveur à ces attaquants, nous avons l'option 'Disable Login Redirection' sur la page System > Setup.
Pour NxCloud, la redirection de connexion est désactivée par défaut car elle est censée être sur le nuage en premier lieu.
Bloquer des types de requêtes DNS spécifiques
Certains attaquants n'envoient que des types spécifiques de requêtes DNS à leurs propres fins. Le cas le plus connu est l'utilisation d'une requête DNS de type 'Any' pour
pour attaquer un serveur victime avec des paquets DNS plus volumineux. Vous pouvez bloquer ou autoriser uniquement certains types de requêtes sur la ligne DNS > Server Protection.
Supprimer les requêtes pour les domaines locaux
Lorsque vous exécutez NxFilter sur le nuage, vous ne voulez pas répondre aux requêtes pour les domaines '.local' ou 'WPAD' comme les noms d'hôte sans domaine ou les recherches inversées pour les IP privées.
inversées pour des IP privées. Pour bloquer les domaines locaux, vous pouvez ajouter une entrée pour '.local' et '.localdomain' sur la ligne Whitelist > Domain. Pour les noms d'hôtes sans
et les recherches inversées pour les IP privées, nous disposons déjà des options nécessaires sur la page DNS > Server Protection.