{"id":211,"date":"2008-12-30T22:11:07","date_gmt":"2008-12-31T04:11:07","guid":{"rendered":"http:\/\/vostorga.org\/?p=211"},"modified":"2008-12-30T22:13:43","modified_gmt":"2008-12-31T04:13:43","slug":"dns-recursivo-y-ataques-ddos-a-que-se-refiere","status":"publish","type":"post","link":"https:\/\/vostorga.org\/?p=211","title":{"rendered":"DNS Recursivo, y ataques DDoS a que se refiere?"},"content":{"rendered":"<p><em>Antes de verse intimidado por la cantidad exagerada de texto de este post, si usted administra un servidor DNS, deber\u00eda de leer lo siguiente:<br \/>\n<\/em><br \/>\nPrimero aclararemos que DNS es el acr\u00f3nimo en ingl\u00e9s para Sistema de Dominio de Nombres, en otras palabras es un medio que nos permite traducir una direcci\u00f3n web a IP y viceversa, por ejemplo linux.org.sv a la IP 68.178.241.185 y la IP 68.178.241.185 a linux.org.sv. Esto se pens\u00f3 con el prop\u00f3sito de que la navegaci\u00f3n en Internet fuera c\u00f3moda.<\/p>\n<p>En forma general, existen dos tipos de servidores DNS, que son los servidores recursivos y los servidores autoritativos, y es posible que ambos se ejecuten en la misma m\u00e1quina.<\/p>\n<p>El <em>autoritativo<\/em> es un servidor que conoce informaci\u00f3n acerca de uno o m\u00e1s dominios (lo que normalmente se denominan zonas), por lo general es uno o dos dominios, y no sabe informaci\u00f3n sobre otros dominios.<\/p>\n<p>El <em>recursivo<\/em> es un servidor capaz de encontrar la respuesta a cualquier consulta DNS, y puede encontrar informaci\u00f3n acerca de casi todos los dominios, por ejemplo google.com, linux.org, gentoo.org . Generalmente estos servidores est\u00e1n abiertos a cualquier IP , en otras palabras, pueden ser consultados por cualquier maquina en el mundo.<\/p>\n<p>El problema es que muchas entidades hacen que el mismo servidor act\u00fae tanto como autoritativo como recursivo. Una pr\u00e1ctica sana es tenerlos separados, lo cual previene el problema denominado &#8220;envenenamiento de cache&#8221;.<br \/>\nSi es imposible tenerlos separados, es recomendable que permitan recursi\u00f3n a solo un rango de IPs &#8220;confiables&#8221;.<\/p>\n<p>Para clasificar la inseguridad de tener un servidor DNS recursivo abierto a internet es comparable a tener un &#8220;Open Proxy&#8221; en un servidor proxy o un &#8220;Open Relay&#8221; en un servidor de correos. Simplemente era algo que hasta cierta fecha no fue aprovechado por &#8220;mentes siniestras&#8221; pero que ahora es aprovechado y utilizado para fines oscuros.<\/p>\n<p><strong><em>Posibles riesgos de tener un servidor recursivo en Internet<\/em><\/strong><br \/>\nSer una v\u00edctima de ataques de envenenamiento de cach\u00e9, la cual hace que el servidor afectado almacene informaci\u00f3n falsa. Dicha informaci\u00f3n puede ser utilizada para comprometer la seguridad de los clientes que hacen consultas al servidor afectado, por ejemplo redireccionar google.com a un sitio con malware, o redireccionar sitios de bancos con la intenci\u00f3n de obtener informaci\u00f3n confidencial del usuario.<\/p>\n<p>El servidor podr\u00eda ser ocupado para un ataque DoS distribuido el cual puede tener las siguientes consecuencias:<\/p>\n<ul>\n<li> La gran cantidad de consultas DNS recibidas por el servidor y la gran cantidad de respuestas enviadas a la v\u00edctima pueden consumir una considerable cantidad de ancho de banda<\/li>\n<\/ul>\n<ul>\n<li> Problemas legales ya que si, por ejemplo, un equipo de un ISP ataca a un cliente, seguramente el cliente lo demandar\u00e1<\/li>\n<\/ul>\n<p><strong><em>Un ejemplo de las consecuencias de la recursividad (Ataque DDoS)<\/em><\/strong><\/p>\n<p><strong><em><\/em><\/strong><a title=\"Ataque DDoS\" href=\"http:\/\/news.netcraft.com\/archives\/2006\/02\/10\/payment_gateway_stormpay_battling_sustained_ddos_attack.html\" target=\"_blank\">Aqu\u00ed<\/a><\/p>\n<p><em><strong>En que consiste el ataque? me da curiosidad saber&#8230;<\/strong><\/em><br \/>\nTratar\u00e9 de explicarlo de la manera mas sencilla: con ejemplos.<br \/>\nPara dar un ejemplo, a veces un dominio x recibe respuestas ICMP echo, porque &#8220;alguien&#8221; modifico los paquetes para que parecieran como si el dominio x hizo la petici\u00f3n ICMP echo, en otras palabras recibimos respuesta de un ping que NUNCA salio de nuestro dominio.<br \/>\nAhora de otra manera, como los paquetes UDP son fragmentados por los servidores, y UDP puede ser f\u00e1cilmente modificado su IP de origen, el servidor DNS recibe un paquete grande, que se hace mas grande (t\u00e9cnicamente, mas fragmentos), enviando la respuesta al blanco atacado. Imaginemos muchos DNS recursivos enviando respuestas al &#8220;blanco atacado&#8221;. Si, eso es una Denegaci\u00f3n de servicio distribuida (DDoS).<\/p>\n<p>Si sienten la explicaci\u00f3n anterior muy sencilla o vaga, pueden leer <a href=\"http:\/\/www.isotf.org\/news\/DNS-Amplification-Attacks.pdf\" target=\"_blank\">http:\/\/www.isotf.org\/news\/DNS-Amplification-Attacks.pdf<\/a> \ud83d\ude42<\/p>\n<p><strong><em>Soluciones al problema<\/em><\/strong><\/p>\n<ul>\n<li>Separar el servidor autoritativo del recursivo, por ejemplo el autoritativo abierto a Internet y el recursivo solo para nuestra LAN<\/li>\n<li> Si no se pueden separar, permitir la recursividad a rangos de IPs &#8220;confiables&#8221;, esto se hace por ejemplo con las &#8220;vistas&#8221; en Bind<\/li>\n<li>Leer el vinculo <a href=\"http:\/\/www.us-cert.gov\/reading_room\/DNS-recursion121605.pdf\" target=\"_blank\">http:\/\/www.us-cert.gov\/reading_room\/DNS-recursion121605.pdf<\/a> sobre medidas de seguridad en servidores DNS Bind, Windows, y OSX<\/li>\n<li>Una muy buena explicaci\u00f3n de como hacer m\u00e1s segura una configuracion de Bind <a href=\"http:\/\/www.cymru.com\/Documents\/secure-bind-template.html\" target=\"_blank\">http:\/\/www.cymru.com\/Documents\/secure-bind-template.html<\/a><\/li>\n<\/ul>\n<p><strong><em>Entonces algunos podr\u00edan decirme, y no es esa la intenci\u00f3n de un DNS, resolver todos los dominios a todo el mundo?<\/em><\/strong><br \/>\nNo, esa es una funci\u00f3n de un servidor recursivo, como hemos hablado anteriormente puede ser autoritativo y contener informaci\u00f3n solamente para un dominio. Lo mas conveniente es que permita la recursividad solamente a un rango de IPs<\/p>\n<p><strong><em>Yo estoy protegido, porque ocupo Bind en Linux\/BSD \ud83d\ude42 <\/em><\/strong><br \/>\nNo, la recursi\u00f3n no se refiere a un sistema operativo o software en espec\u00edfico \ud83d\ude41<\/p>\n<p>Espero lo anterior les haya despertado la curiosidad sobre el tema, saludos<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Antes de verse intimidado por la cantidad exagerada de texto de este post, si usted administra un servidor DNS, deber\u00eda de leer lo siguiente: Primero aclararemos que DNS es el acr\u00f3nimo en ingl\u00e9s para Sistema de Dominio de Nombres, en otras palabras es un medio que nos permite traducir una direcci\u00f3n web a IP y [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[85,86],"class_list":["post-211","post","type-post","status-publish","format-standard","hentry","category-linux","tag-dns","tag-recursivo"],"_links":{"self":[{"href":"https:\/\/vostorga.org\/index.php?rest_route=\/wp\/v2\/posts\/211"}],"collection":[{"href":"https:\/\/vostorga.org\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/vostorga.org\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/vostorga.org\/index.php?rest_route=\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/vostorga.org\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=211"}],"version-history":[{"count":7,"href":"https:\/\/vostorga.org\/index.php?rest_route=\/wp\/v2\/posts\/211\/revisions"}],"predecessor-version":[{"id":218,"href":"https:\/\/vostorga.org\/index.php?rest_route=\/wp\/v2\/posts\/211\/revisions\/218"}],"wp:attachment":[{"href":"https:\/\/vostorga.org\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=211"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/vostorga.org\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=211"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/vostorga.org\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=211"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}