中国移动bind域名解析软件安全配置规范v1.0

《中国移动bind域名解析软件安全配置规范v1.0》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、中国移动BIND域名解析软件安全配置规范安全配置规范SpecificationforBINDSoftwareConfigurationUsedinChinaMobile版本号：1.0.0中国移动通信有限公司网络部╳╳╳╳-╳╳-╳╳发布╳╳╳╳-╳╳-╳╳实施中国移动BIND域名解析软件安全配置规范目录1概述11.1适用范围11.2内部适用性说明11.3外部引用说明21.4术语和定义21.5符号和缩略语22BIND域名解析软件安全配置要求32.1记录安全事件到文件32.2隐藏BIND版本信息42

2、.3禁止DNS域名递归查询42.4增加查询ID的随机性52.5限制域名查询52.6限制域名递归查询62.7指定动态DNS更新主机62.8指定动态DNS更新主机72.9指定不接受区域请求72.10指定不接受区域请求82.11定义ACL地址名92.12控制管理接口102.13防止DNS欺骗102.14设置重试查询次数112.15防止污染高速缓存（Cache）12中国移动BIND域名解析软件安全配置规范前言为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和

3、配置要求。有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。本标准起草单位：中国移动通信有限公司网络部、中国移动集团北京公司。本标准解释单位：同提出单位。本标准主要起草人：王悦、陈敏时、周智、曹一生。中国移动BIND域名解析软件安全配置规范1概述1.1适用范围本规范适用于中国移动互

4、联网使用BIND软件进行域名解析的DNS系统。本规范明确了BIND域名解析软件安全配置方面的基本要求。BIND：全称是BerkeleyInternetNameDomain（伯克利因特网名字系统）。官方网址：http://www.isc.org/。它主要有3个版本：BIND4，BIND8，BIND9。BIND没有5，6，7这几个版本，一下就跳到8了，在BIND8以后的版本里融合了许多提高效率，稳定性和安全性的技术。BIND安全选项非常多，应针对BIND服务软件进行安全配置，充分利用BIND自身已经

5、实现的保护功能加强BIND安全性，从而能抵御目前已知的BIND安全漏洞，并尽可能使潜在的安全漏洞对DNS服务造成最小的影响。BIND安全配置可完成针对限制域传输、限制查询、防止DNS欺骗、设置重试查询次数、修改BIND的版本信息等Bind系统安全配置。本规范基于BIND9.x.x以上的版本提供了安全配置操作方法。1.2内部适用性说明本规范是在《中国移动设备通用设备安全功能和配置规范》（以下简称《通用规范》）各项设备配置要求的基础上，提出的BIND域名解析软件安全配置规范。本规范新增的安全配置要求

6、，如下：安全要求-设备-通用-BIND-配置-1安全要求-设备-通用-BIND-配置-2安全要求-设备-通用-BIND-配置-3安全要求-设备-通用-BIND-配置-4安全要求-设备-通用-BIND-配置-5安全要求-设备-通用-BIND-配置-6安全要求-设备-通用-BIND-配置-7安全要求-设备-通用-BIND-配置-8安全要求-设备-通用-BIND-配置-9安全要求-设备-通用-BIND-配置-10安全要求-设备-通用-BIND-配置-11中国移动通信集团公司第12页共15页中国移动BI

7、ND域名解析软件安全配置规范安全要求-设备-通用-BIND-配置-12安全要求-设备-通用-BIND-配置-13安全要求-设备-通用-BIND-配置-14安全要求-设备-通用-BIND-配置-151.1外部引用说明《中国移动设备通用安全功能和配置规范》1.2术语和定义1、域名系统DNS（DomainNameSystem）是域名解析服务的意思，它在互联网的作用是：把域名转换成为网络可以识别的ip地址。2、名字服务器和区：存储关于域名空间信息的程序叫做名字服务器（nameserver）。名字服务器通

8、常含有域名空间中某一部分的完整信息，这一部分成为区（zone），区的内容是从文件或其他名字服务器中加载而来的。3、递归或递归解析（recursiveresolution）：名字服务器在收到递归查询时所采用的解析过程。4、反复（iteration）或反复解析（iterationresolution）：名字服务器在收到反复查询时所使用的解析过程。5、DNS通知（DNSNOTIFY）：允许一个区（zone）的主名字服务器在序列号增加的时候通知该区（zone）的辅名字服务器。1.3符号和缩略语缩写英文描