tr m ngị ạ – Trong lo t bài này chúng tôi s gi i thi u cho các b n m t s v n đ trongạ ẽ ớ ệ ạ ộ ố ấ ề
b o m t DNS và cách b o m t các máy ch DNS đã b th a hi p.ả ậ ả ậ ủ ị ỏ ệ
Không th ph nh n đ c t m quan tr ng c a DNS đ i v i các ho t đ ng m ng thôngể ủ ậ ượ ầ ọ ủ ố ớ ạ ộ ạ
th ng cho m ng n i b và Internet, do đó vi c phát hi n các v n đ và tìm ra cách kh cườ ạ ộ ộ ệ ệ ấ ề ắ
ph c là m t đi u c n thi t. Sau đây chúng ta s cùng nhau đi xem xét m t s v n đ nóiụ ộ ề ầ ế ẽ ộ ố ấ ề
chung đ i v i các máy ch DNS:ố ớ ủ
•Th a hi p file vùng DNSỏ ệ
•L h ng thông tin vùng DNSỗ ổ
•Nâng c p đ ng b th a hi pấ ộ ị ỏ ệ
•Gây l t máy khách DNS (t ch i d ch v )ụ ừ ố ị ụ
•Gi m o Cacheả ạ
Th a hi p file vùng DNSỏ ệ
Máy ch DNS s đ c c u hình trên m t s phiên b n Windows Server. Qu n tr viên DNS cóủ ẽ ượ ấ ộ ố ả ả ị
th thi t l p c u hình vùng và các b n ghi b ng dòng l nh ho c giao di n DNS mmc. M tể ế ậ ấ ả ằ ệ ặ ệ ộ
trong nh ng cách hay g p ph i và cũng d dàng nh t đ th a hi p c s h t ng DNS làữ ặ ả ễ ấ ể ỏ ệ ơ ở ạ ầ
ch nh s a tr c ti p c u hình máy ch DNS ho c b n thân các b n ghi trên máy ch DNS hayỉ ử ự ế ấ ủ ặ ả ả ủ
t m t máy tính xa.ừ ộ ở
Ki u t n công này có th đ c th c hi n b i b t c ng i nào có m t chút ki n th c vể ấ ể ượ ự ệ ở ấ ứ ườ ộ ế ứ ề
DNS và có th truy c p máy ch . K t n công có th ng i tr c ti p tr c màn hình máy ch ,ể ậ ủ ẻ ấ ể ồ ự ế ướ ủ
k t n i thông qua RDP hay th m chí đăng nh p qua Telnet. Th ph m đây có th là ng iế ố ậ ậ ủ ạ ở ể ườ
bên trong t ch c hay có th là qu n tr viên m c l i. Cách th c b o m t đây là khóa ch nổ ứ ể ả ị ắ ỗ ứ ả ậ ở ặ
máy ch DNS, ch nh ng ng i có trách nhi m m i đ c truy c p vào c u hình DNS, b t củ ỉ ữ ườ ệ ớ ượ ậ ấ ấ ứ
ph ng pháp truy c p t xa nào đ n máy ch DNS c n đ c h n ch cho nh ng ng i th cươ ậ ừ ế ủ ầ ượ ạ ế ữ ườ ự
s c n thi t.ự ầ ế
L h ng thông tin vùng DNSỗ ổ
Các file vùng DNS trên máy ch DNS s ch a các tên máy tính trong vùng đó, tên máy tính nàyủ ẽ ứ
s đ c c u hình m t cách th công hay c u hình thông qua các nâng c p đ ng. Các máy chẽ ượ ấ ộ ủ ấ ấ ộ ủ
DNS trong m ng n i b th ng ch a tên c a t t c các máy ch trên m ng (ho c t i thi uạ ộ ộ ườ ứ ủ ấ ả ủ ạ ặ ố ể
cũng là các máy ch b n mu n truy c p thông qua tên). Trên máy ch Internet, thông th ngủ ạ ố ậ ủ ườ
chúng ta ch nh p vào các tên máy ch mu n truy c p – tuy nhiên m t s có th t n t i trongỉ ậ ủ ố ậ ộ ố ể ồ ạ
m t location đ c c u hình b i ISP và m t trong s có th n m trong m ng n i b .ộ ượ ấ ở ộ ố ể ằ ạ ộ ộ
L h ng thông tin vùng có th x y ra khi k đ t nh p khai thác đ c các thông tin quan tr ngỗ ổ ể ả ẻ ộ ậ ượ ọ
v các vai trò máy ch trên m ng qua tên c a các máy ch đó. Cho ví d , n u b n có m t máyề ủ ạ ủ ủ ụ ế ạ ộ
ch có th truy c p thông qua tên PAYROLL, thông tin này s r t giá tr đ i v i k t n công.ủ ể ậ ẽ ấ ị ố ớ ẻ ấ
Đây là th mà chúng ta có th t m g i là “d u v t”.ứ ể ạ ọ ấ ế
K t n công có th khai thác tên c a các máy tính khác trên m ng b ng nhi u ph ng phápẻ ấ ể ủ ạ ằ ề ươ
khác nhau. Cho ví d , n u cho phép t t c các máy có kh năng chuy n vùng, k đ t nh p cóụ ế ấ ả ả ể ẻ ộ ậ
th download toàn b c s d li u vùng đ n máy tính c a anh ta thông qua c ch chuy nể ộ ơ ở ữ ệ ế ủ ơ ế ể
vùng. Th m chí n u không cho phép chuy n vùng, k t n công cũng có th l i d ng các truyậ ế ể ẻ ấ ể ợ ụ
v n DNS ng c đ dò tìm ra tên máy tính trong m ng. T đó chúng có th t o m t s đ toànấ ượ ể ạ ừ ể ạ ộ ơ ồ
di n v m ng t d li u DNS này.ệ ề ạ ừ ữ ệ
Ngoài ra k xâm nh p có th l m l t thông tin và xác đ nh đ c đâu là các đ a ch khôngẻ ậ ể ượ ặ ị ượ ị ỉ
đ c s d ng trong m ng. Sau đó s d ng các đ a ch không đ c s d ng này đ thi t l pượ ử ụ ạ ử ụ ị ỉ ượ ử ụ ể ế ậ
máy ch DNS gi m o, đi u này là vì trong m t s tr ng h p, đi u khi n truy c p m ngủ ả ạ ề ộ ố ườ ợ ề ể ậ ạ
đ c thi t l p cho toàn b ID m ng ho c t p các ID nào đó thay vì các đ a ch IP riêng bi t.ượ ế ậ ộ ạ ặ ậ ị ỉ ệ
Cu i cùng, m t th c t chung trong cách hosting DNS c a các doanh nghi p nh (n i đangố ộ ự ế ủ ệ ỏ ơ
hosting các d ch v DNS riêng) là vi c k t h p các vùng chung và riêng trên cùng m t máyị ụ ệ ế ợ ộ
ch DNS trong khi đó c s h t ng DNS l i chia tách. Trong tr ng h p này, b n s đ lủ ơ ở ạ ầ ạ ườ ợ ạ ẽ ể ộ
c tên bên trong và bên ngoài trong cùng m t vùng, đi u cho phép k t n công d dàng tìm raả ộ ề ẻ ấ ễ
không gian đ a ch bên trong và các th a thu n đ t tên. Thông th ng, chúng s ph i đ t nh pị ỉ ỏ ậ ặ ườ ẽ ả ộ ậ
vào bên trong m ng đ khám phá thông tin vùng bên trong, tuy nhiên khi cùng m t máy chạ ể ộ ủ
hosting c thông tin chung và riêng trên cùng máy ch DNS thì k t n công lúc này s có cả ủ ẻ ấ ẽ ơ
h i l n đ t n công b n.ộ ớ ể ấ ạ
Nâng c p đ ng b th a hi pấ ộ ị ỏ ệ
Các nâng c p đ ng DNS r t thu n ti n cho qu n tr viên DNS. Thay vì ph i t t o các b nấ ộ ấ ậ ệ ả ị ả ự ạ ả
ghi cho t t c máy khách và máy ch , t t c nh ng gì b n c n th c hi n lúc này là kích ho tấ ả ủ ấ ả ữ ạ ầ ự ệ ạ
các nâng c p DNS đ ng trên c máy ch và máy khách. Khi s d ng máy khách và máy chấ ộ ả ủ ử ụ ủ
DNS Windows, b n có th c u hình DHCP đ h tr ch c năng nâng c p DNS đ ng. V iạ ể ấ ể ỗ ợ ứ ấ ộ ớ
nâng c p đ ng này, ch c n b t ch c năng và đ cho các máy tính t đăng ký trong DNS; b nấ ộ ỉ ầ ậ ứ ể ự ạ
không c n ph i t t o b n ghi DNS.ầ ả ự ạ ả
Rõ ràng t t c m i th đ u có giá c a nó và trong tr ng h p này cũng v y, s thu n ti nấ ả ọ ứ ề ủ ườ ợ ậ ự ậ ệ
này cũng kéo theo nguy c b o m t ti n n đ i v i DNS đ ng. Có r t nhi u cách có th th cơ ả ậ ề ẩ ố ớ ộ ấ ề ể ự
hi n các nâng c p DNS đ ng này, có th phân lo i chúng thành hai m ng: nâng c p an toàn vàệ ấ ộ ể ạ ả ấ
không an toàn. V i các nâng c p an toàn, h th ng khách c n ph i đ c th m đ nh (cho ví d ,ớ ấ ệ ố ầ ả ượ ẩ ị ụ
s d ng tài kho n máy tính ch a trong Active Directory) tr c khi có th t nâng c p. Cácử ụ ả ứ ướ ể ự ấ
nâng c p không an toàn xu t hi n khi b n cho phép b t c host nào cũng có th đăng ký đ aấ ấ ệ ạ ấ ứ ể ị
ch c a nó trong DNS mà không yêu c u th m đ nh.ỉ ủ ầ ẩ ị
Tuy nhiên các nâng c p đ ng an toàn không ph i t t c đ u gi ng nhau. Cho ví d , n u b nấ ộ ả ấ ả ề ố ụ ế ạ
h n ch ch nh ng qu n tr viên mi n hay qu n tr viên b o m t m i có th gia nh p mi n,ạ ế ỉ ữ ả ị ề ả ị ả ậ ớ ể ậ ề
khi đó các nâng c p DNS đ ng t ra khá an toàn trong môi tr ng Windows. Tuy nhiên n uấ ộ ỏ ườ ế
cho phép b t c ai cũng có th join máy tính c a h vào mi n, b n v n đ b o m t đây sấ ứ ể ủ ọ ề ạ ấ ề ả ậ ở ẽ
b gi m đi đáng k .ị ả ể
Khi nâng c p đ ng b th a hi p, k t n công có th thay đ i các thông tin trong b n ghi đấ ộ ị ỏ ệ ẻ ấ ể ổ ả ể
các tên máy tính s đ c redirect đ n các máy ch mà k t n công thi t l p nh m đ t đ cẽ ượ ế ủ ẻ ấ ế ậ ằ ạ ượ
các m c đích c a chúng (ch ng h n nh load ph n m m mã đ c vào máy tính đ bi n nó trụ ủ ẳ ạ ư ầ ề ộ ể ế ở
thành m t ph n trong botnet mà k t n công đang đi u khi n). M t v n đ khác k t n côngộ ầ ẻ ấ ề ể ộ ấ ề ẻ ấ
có th th c hi n trong tình hu ng này là th c hi n t n công t ch i d ch v m c đ n gi nể ự ệ ố ự ệ ấ ừ ố ị ụ ứ ơ ả
b ng cách xóa b n ghi chính, ch ng h n nh các b n ghi cho máy ch DNS hay b đi uằ ả ẳ ạ ư ả ủ ộ ề
khi n mi n.ể ề
T ch i d ch v DNS b ng cách gây l t máy kháchừ ố ị ụ ằ ụ
Nói đ n DoS, n u ch a bao gi g p ph i ki u t n công này thì hãy xem đó nh m t may m nế ế ư ờ ặ ả ể ấ ư ộ ắ
đ i v i b n. Do các truy v n DNS không đ c th m đ nh nên máy ch DNS luôn c g ng trố ớ ạ ấ ượ ẩ ị ủ ố ắ ả
l i các truy v n mà nó nh n đ c. Đi u này có nghĩa r t d có th th c hi n m t t n công tờ ấ ậ ượ ề ấ ễ ể ự ệ ộ ấ ừ
ch i d ch v đ i v i m t máy ch DNS. Có khá nhi u botnet có th t o các ki u t n côngố ị ụ ố ớ ộ ủ ề ể ạ ể ấ
DDoS đ vô hi u hóa máy ch DNS đ lâu cho k t n công thi t l p máy ch DNS gi m oể ệ ủ ủ ẻ ấ ế ậ ủ ả ạ
đ tr l i các truy v n. Ng i dùng không có cách nào bi t đ c máy ch DNS m i là máyể ả ờ ấ ườ ế ượ ủ ớ
ch gi m o, h s b redirect đ n máy ch c a k t n công. Các site này th ng đ c thi tủ ả ạ ọ ẽ ị ế ủ ủ ẻ ấ ườ ượ ế
k đ gi ng các site th t và s d ng s tin t ng c a ng i dùng vào các site th c tăng sế ể ố ậ ử ụ ự ưở ủ ườ ự ể ự
truy c p vào thông tin nh n d ng cá nhân, sau đó là th c hi n các t n công ki u này.ậ ậ ạ ự ệ ấ ể
Gi m o cacheả ạ
Máy ch DNS này s truy v n máy ch DNS khác đ l y thông tin. Đ c i thi n hi u su tủ ẽ ấ ủ ể ấ ể ả ệ ệ ấ
cho toàn b c s h t ng DNS, các máy ch DNS s l u các k t qu truy v n trong m tộ ơ ở ạ ầ ủ ẽ ư ế ả ấ ộ
kho ng th i gian tr c đó vào các b n ghi đ cung c p s phân gi i tên. N u truy v n th haiả ờ ướ ả ể ấ ự ả ế ấ ứ
có cùng tên tr c khi timeout, máy ch DNS s đáp tr các thông tin mà nó đã l u trong DNSướ ủ ẽ ả ư
cache thay vì truy v n sang máy ch DNS khác.ấ ủ
Tuy có th c i thi n đáng k đ c hi u su t t ng th nh ng cách th c hi n này gây ra m tể ả ệ ể ượ ệ ấ ổ ể ư ự ệ ộ
l h ng b o m t. L h ng b o m t b khai thác đây đ c g i là “DNS cache poisoning” cóỗ ổ ả ậ ỗ ổ ả ậ ị ở ượ ọ
nghĩa là gi m o DNS. Vi c gi m o DNS di n ra khi máy ch DNS g i m t truy v n đ nả ạ ệ ả ạ ễ ủ ử ộ ấ ế
máy ch DNS khác và máy ch DNS đó tr v các thông tin không đúng. Trong h u h t cácủ ủ ả ề ầ ế
tr ng h p, máy ch DNS tr v các thông tin sai là các máy ch đã b th a hi p.ườ ợ ủ ả ề ủ ị ỏ ệ
Vi c gi m o cache có th di n ra vì các máy ch DNS không ki m tra s h p l c a các đápệ ả ạ ể ễ ủ ể ự ợ ệ ủ
tr , cũng nh không th c hi n th m đ nh các đáp tr mà chúng nh n đ c t máy ch DNSả ư ự ệ ẩ ị ả ậ ượ ừ ủ
khác. Máy ch DNS “khách” s nh n đ c thông tin trong đáp tr và l u thông tin đó, sau đóủ ẽ ậ ượ ả ư
cung c p thông tin sai đ n các máy đ c c u hình là máy khách DNS c a máy ch này.ấ ế ượ ấ ủ ủ
K t lu nế ậ
Trong ph n này chúng tôi đã gi i thi u cho các b n m t s v n đ trong b o m t DNS vàầ ớ ệ ạ ộ ố ấ ề ả ậ
cách b o m t các máy ch DNS b th a hi p nh th nào. Trong ph n hai, chúng tôi s gi iả ậ ủ ị ỏ ệ ư ế ầ ẽ ớ
thi u k h n v m t s m o giúp c i thi n b o m t DNS và xem xét k tính năng b o m tệ ỹ ơ ề ộ ố ẹ ả ệ ả ậ ỹ ả ậ
trong Windows Server 2008, DNSSEC. Bên c nh đó chúng ta cũng s đi c u hình m t vùng anạ ẽ ấ ộ
toàn b ng DNSSEC và xem xét cách s d ng DNSSEC đ c i thi n b o m t DNS cho tằ ử ụ ể ả ệ ả ậ ổ
ch c.ứ
Văn Linh (Theo Windowsecurity)
Xem thêm: b o m tả ậ , dns, domain name system, cache poisoning, máy chủ, máy tr mạ, dhcp