网络安全运行与维护教学课件 M4-1 加强Linux系统的DNS服务的安全防御.ppt

《网络安全运行与维护教学课件 M4-1 加强Linux系统的DNS服务的安全防御.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、《网络安全运行与维护》模块四Linux服务器系统安全管理与维护DHCPDNSWebFTPCA服务器群集邮件服务DDNInternet北京总部长春分公司VPN网管工作站重庆分公司DHCPWEBWEBFTPDNSBDNS总体概述加强Linux系统的DNS服务的安全防御能力加固Linux系统的DHCP服务安全防御能力提升Linux系统的WEB服务的安全防御能力提高Linux系统的FTP服务安全访问及安全防御能力使用Linux防火墙模块提升服务器的安全防御能力能力单元1加强Linux系统的DNS服务的安全防御任务描述在某科研单位的办公网中，对外提供服务的DNS服务器会经常遇到拒绝服务、分布式拒

2、绝服务、缓冲区漏洞溢出、DNS欺骗等攻击，直接影响单位办公网的正常运行。信息中心为了保障DNS服务器安全运行并提供正常服务，需要通过以下措施来加强DNS服务器的安全。隔离DNS服务器隐藏DNS服务器避免透露服务器信息关闭DNS服务器的gluefetching选项使用非root权限运行bind控制区域传输为DNS服务器配置DNSFloodDetector增强DNS服务器防范DPS、DDoS攻击的功能任务分析DNS服务面临的安全隐患主要包括DNS欺骗、拒绝服务（DoS）攻击、分布式拒绝服务（DDoS）攻击和缓冲区漏洞溢出攻击。相关知识1．DNS欺骗DNS欺骗就是攻击者冒充域名服务器的一种欺骗行为

3、。其原理是：通过冒充域名服务器，把查询到的IP地址设为攻击者的IP地址，这样，用户上网就只能看到攻击者的主页，而不是用户想要访问的主页了，这就是DNS欺骗。DNS欺骗其实并不是真的“黑掉”了对方的网站，而是冒名顶替了。相关知识2．拒绝服务攻击拒绝服务攻击是攻击者想办法让目标机器停止提供服务，从而阻止用户正常访问。拒绝服务攻击问题一直未能找到合理的解决办法，究其原因是由网络协议本身的安全缺陷造成的，从而使拒绝服务攻击成为攻击者的最常用手段。通过拒绝服务攻击，对服务器会造成两种影响：一是迫使服务器的缓冲区满，不接收新的请求；二是使用IP欺骗，迫使服务器把合法用户的连接复位，影响合法用户的连接。相

4、关知识3.SYNFloodSYNFlood是当前最常见的DoS与DDoS的方式之一，它利用TCP协议缺陷，发送大量伪造的TCP连接请求，使被攻击方资源耗尽（CPU满负荷或内存不足）。SYNFlood拒绝服务攻击是通过TCP协议的三次握手实现。相关知识4.缓存感染攻击者使用DNS请求，将数据放入一个没有设防的DNS服务器的缓存中，这些缓存信息会在客户进行DNS访问时返回给客户，从而将客户引导到入侵者设置了木马的Web服务器或邮件服务器上，然后攻击者从这些服务器上获取用户信息。相关知识5.DNS信息劫持入侵者通过监听客户端和DNS服务器的对话，探询服务器响应给客户端的DNS查询ID。每个DNS报

5、文都包含一个相关联的16位ID号，DNS服务器根据这个ID号获取请求源位置。黑客在DNS服务器响应之前将虚假的响应反馈给用户，从而欺骗客户端去访问恶意的网站。相关知识6.DNS重定向攻击者将DNS名称查询重定向到恶意DNS服务器，这样攻击者可以获得DNS服务器的写权限。相关知识7．缓冲区漏洞溢出攻击如果DNS服务器软件存在漏洞，比如对特定的输入没有进行严格检查，那么有可能被攻击者利用，攻击者会构造特殊的畸形数据包来对DNS服务器进行缓冲区溢出攻击。一旦攻击成功，就会造成DNS服务停止，或在DNS服务器上执行其设定的恶意代码。一旦入侵完成，入侵者就可以控制DNS服务器的如下方面。更改MX记录，

6、造成邮件被截获、修改或删除。更改记录，使WWW服务器的域名指向黑客的具有同样WWW内容的主机，诱使访问者登录，获取访问者的密码等相关信息。添加记录，使黑客的主机拥有被相信的域名，以此来入侵域名信任机制的系统。利用这台主机作为跳板去攻击其它计算机。拓扑结构任务实施〖步骤1〗实验准备①在两台计算机上安装RedHatLinuxEnterpriseServerAS4.6操作系统。②按照拓扑图连接网络③配置计算机的IP地址和DNS，并测试网络的连通性④修改计算机名称任务实施〖步骤2〗安装DNS服务第1步：安装SERVER1的DNS服务①在SERVER桌面，打开“软件包管理”窗口任务实施〖步骤2〗安装D

7、NS服务第1步：安装SERVER1的DNS服务②插入光盘，单击“更新”按钮进行DNS服务的安装。③查看安装结果[root@SERVER~]#rpm–qa

8、grepbind[root@SERVER~]#servicenamedstart[root@SERVER~]#servicenamedstatus任务实施〖步骤2〗安装DNS服务第2步：安装SERVER2的DNS服务①打开“软件包管理”窗口②插入光盘，进行D