DNS सुरक्षा गाइड

कम्पनीले जे गरे पनि सुरक्षा DNS यसको सुरक्षा योजनाको अभिन्न अंग हुनुपर्छ। IP ठेगानाहरूमा होस्टनामहरू समाधान गर्ने नाम सेवाहरू, नेटवर्कमा लगभग हरेक अनुप्रयोग र सेवाहरूद्वारा प्रयोग गरिन्छ।

यदि आक्रमणकारीले संगठनको DNS नियन्त्रण प्राप्त गर्छ भने, उसले सजिलैसँग:

• साझा स्रोतहरूमा आफैलाई नियन्त्रण दिनुहोस्
• आगमन इमेलहरू साथै वेब अनुरोधहरू र प्रमाणीकरण प्रयासहरू पुन: निर्देशित गर्नुहोस्
• SSL/TLS प्रमाणपत्रहरू सिर्जना र प्रमाणीकरण गर्नुहोस्

यो गाइडले DNS सुरक्षालाई दुई कोणबाट हेर्छ:

1. DNS मा निरन्तर निगरानी र नियन्त्रण प्रदर्शन गर्दै
2. कसरी नयाँ DNS प्रोटोकलहरू जस्तै DNSSEC, DOH र DoT ले प्रसारित DNS अनुरोधहरूको अखण्डता र गोपनीयताको रक्षा गर्न मद्दत गर्न सक्छ।

DNS सुरक्षा के हो?

DNS सुरक्षाको अवधारणाले दुई महत्त्वपूर्ण कम्पोनेन्टहरू समावेश गर्दछ:

1. IP ठेगानाहरूमा होस्टनामहरू समाधान गर्ने DNS सेवाहरूको समग्र अखण्डता र उपलब्धता सुनिश्चित गर्दै
2. तपाईंको नेटवर्कमा कहीं पनि सम्भावित सुरक्षा समस्याहरू पहिचान गर्न DNS गतिविधि निगरानी गर्नुहोस्

किन DNS आक्रमणहरूको लागि कमजोर छ?

DNS प्रविधि इन्टरनेटको प्रारम्भिक दिनहरूमा सिर्जना गरिएको थियो, जो कोहीले पनि नेटवर्क सुरक्षाको बारेमा सोच्न थालेको धेरै अघि। DNS प्रमाणीकरण वा इन्क्रिप्शन बिना काम गर्दछ, कुनै पनि प्रयोगकर्ताबाट अनुरोधहरू अन्धाधुन्ध प्रक्रिया गर्दै।

यसको कारणले गर्दा, प्रयोगकर्तालाई धोका दिने र IP ठेगानाहरूमा नामहरूको रिजोल्युसन वास्तवमा कहाँ हुन्छ भन्ने बारे जानकारी झूटो बनाउने थुप्रै तरिकाहरू छन्।

DNS सुरक्षा: मुद्दाहरू र अवयवहरू

DNS सुरक्षा धेरै आधारभूत हुन्छन् घटकहरू, जसमध्ये प्रत्येकलाई पूर्ण सुरक्षा सुनिश्चित गर्नको लागि ध्यानमा राख्नु पर्छ:

• सर्भर सुरक्षा र व्यवस्थापन प्रक्रियाहरू सुदृढ गर्दै: सर्भर सुरक्षाको स्तर बढाउनुहोस् र मानक कमीशन टेम्प्लेट सिर्जना गर्नुहोस्
• प्रोटोकल सुधारहरू: DNSSEC, DoT वा DoH लागू गर्नुहोस्
• विश्लेषण र रिपोर्टिङ: घटनाहरूको अनुसन्धान गर्दा अतिरिक्त सन्दर्भको लागि तपाईंको SIEM प्रणालीमा DNS घटना लग थप्नुहोस्
• साइबर खुफिया र खतरा पत्ता लगाउने: सक्रिय खतरा खुफिया फिडको सदस्यता लिनुहोस्
• स्वचालन: प्रक्रियाहरू स्वचालित गर्न सकेसम्म धेरै स्क्रिप्टहरू सिर्जना गर्नुहोस्

माथि उल्लेखित उच्च-स्तर कम्पोनेन्टहरू DNS सुरक्षा हिमशैलीको टिप मात्र हुन्। अर्को खण्डमा, हामी थप विशिष्ट प्रयोग केसहरू र तपाईंले जान्नुपर्ने उत्तम अभ्यासहरूमा डुब्नेछौं।

DNS आक्रमणहरू

• DNS स्पूफिङ वा क्यास विषाक्तता: प्रयोगकर्ताहरूलाई अर्को स्थानमा रिडिरेक्ट गर्न DNS क्यासलाई हेरफेर गर्न प्रणालीको जोखिमको शोषण गर्दै
• DNS टनेलिङ: मुख्य रूपमा रिमोट जडान सुरक्षा बाइपास गर्न प्रयोग गरिन्छ
• DNS अपहरण: डोमेन रजिस्ट्रार परिवर्तन गरेर सामान्य DNS ट्राफिकलाई फरक लक्ष्य DNS सर्भरमा रिडिरेक्ट गर्दै
• NXDOMAIN आक्रमण: जबरजस्ती प्रतिक्रिया प्राप्त गर्न अवैध डोमेन प्रश्नहरू पठाएर आधिकारिक DNS सर्भरमा DDoS आक्रमण सञ्चालन गर्दै
• प्रेत डोमेन: DNS रिजोल्भरलाई गैर-अवस्थित डोमेनहरूबाट प्रतिक्रियाको लागि पर्खनुको कारण बनाउँछ, खराब प्रदर्शनको परिणामस्वरूप
• अनियमित सबडोमेनमा आक्रमण: सम्झौता गरिएका होस्टहरू र बोटनेटहरूले वैध डोमेनमा DDoS आक्रमण सुरु गर्छन्, तर DNS सर्भरलाई रेकर्डहरू खोज्न र सेवाको नियन्त्रण लिन बाध्य पार्न नक्कली सबडोमेनहरूमा उनीहरूको आगो केन्द्रित गर्दछ।
• डोमेन अवरुद्ध: DNS सर्भर स्रोतहरू ब्लक गर्न धेरै स्प्याम प्रतिक्रियाहरू पठाउँदैछ
• ग्राहक उपकरणबाट बोटनेट आक्रमण: कम्प्युटर, मोडेम, राउटर र अन्य यन्त्रहरूको सङ्कलन जसले ट्राफिक अनुरोधहरूसँग ओभरलोड गर्न विशेष वेबसाइटमा कम्प्युटिङ पावर केन्द्रित गर्दछ।

DNS आक्रमणहरू

अन्य प्रणालीहरूमा आक्रमण गर्न DNS प्रयोग गर्ने आक्रमणहरू (अर्थात् DNS रेकर्डहरू परिवर्तन गर्नु अन्तिम लक्ष्य होइन):

• फास्ट-फ्लक्स
• एकल फ्लक्स नेटवर्कहरू
• डबल फ्लक्स नेटवर्कहरू
• DNS टनेलिङ

DNS आक्रमणहरू

DNS सर्भरबाट फर्काइने आक्रमणकारीलाई आवश्यक आईपी ठेगानामा परिणत हुने आक्रमणहरू:

• DNS स्पूफिङ वा क्यास विषाक्तता
• DNS अपहरण

DNSSEC के हो?

DNSSEC - डोमेन नाम सेवा सुरक्षा इन्जिनहरू - प्रत्येक विशिष्ट DNS अनुरोधको लागि सामान्य जानकारी जान्न आवश्यक बिना DNS रेकर्डहरू मान्य गर्न प्रयोग गरिन्छ।

DNSSEC ले डिजिटल हस्ताक्षर कुञ्जीहरू (PKIs) प्रयोग गर्दछ कि डोमेन नाम क्वेरीको नतिजा वैध स्रोतबाट आएको हो कि भनेर प्रमाणित गर्न।
DNSSEC लागू गर्नु एक उद्योगको उत्तम अभ्यास मात्र होइन, तर धेरै DNS आक्रमणहरूबाट बच्न पनि यो प्रभावकारी छ।

DNSSEC कसरी काम गर्दछ

DNSSEC ले TLS/HTTPS जस्तै काम गर्दछ, DNS रेकर्डहरू डिजिटल रूपमा हस्ताक्षर गर्न सार्वजनिक र निजी कुञ्जी जोडीहरू प्रयोग गरेर। प्रक्रियाको सामान्य अवलोकन:

1. DNS रेकर्डहरू निजी-निजी कुञ्जी जोडीसँग हस्ताक्षर गरिएका छन्
2. DNSSEC प्रश्नहरूको जवाफहरूमा अनुरोध गरिएको रेकर्ड साथै हस्ताक्षर र सार्वजनिक कुञ्जी समावेश हुन्छ
3. त्यसपछि सार्वजनिक कुञ्जी अभिलेख र हस्ताक्षरको प्रमाणिकता तुलना गर्न प्रयोग गरिन्छ

DNS र DNSSEC सुरक्षा

DNSSEC DNS प्रश्नहरूको अखण्डता जाँच गर्ने एउटा उपकरण हो। यसले DNS गोपनीयतालाई असर गर्दैन। अर्को शब्दमा, DNSSEC ले तपाइँलाई तपाइँको DNS प्रश्नको जवाफमा छेडछाड गरिएको छैन भन्ने विश्वास दिन सक्छ, तर कुनै पनि आक्रमणकारीले तपाइँलाई पठाइएका परिणामहरू देख्न सक्छन्।

DoT - TLS मा DNS

ट्रान्सपोर्ट लेयर सेक्युरिटी (TLS) नेटवर्क जडानमा प्रसारित जानकारीको सुरक्षाको लागि क्रिप्टोग्राफिक प्रोटोकल हो। एक पटक क्लाइन्ट र सर्भर बीच एक सुरक्षित TLS जडान स्थापित भएपछि, प्रसारित डाटा इन्क्रिप्टेड हुन्छ र कुनै मध्यस्थकर्ताले यसलाई देख्न सक्दैन।

TLS तपाईको वेब ब्राउजरमा HTTPS (SSL) को भागको रूपमा प्रायः प्रयोग गरिन्छ किनभने अनुरोधहरू सुरक्षित HTTP सर्भरहरूमा पठाइन्छ।

DNS-over-TLS (DNS over TLS, DoT) ले नियमित DNS अनुरोधहरूको UDP ट्राफिक इन्क्रिप्ट गर्न TLS प्रोटोकल प्रयोग गर्दछ।
यी अनुरोधहरूलाई सादा पाठमा इन्क्रिप्ट गर्नाले धेरै आक्रमणहरूबाट अनुरोध गर्ने प्रयोगकर्ताहरू वा अनुप्रयोगहरूलाई जोगाउन मद्दत गर्छ।

• MitM, वा "मध्यमा मानिस": इन्क्रिप्शन बिना, क्लाइन्ट र आधिकारिक DNS सर्भर बीचको मध्यवर्ती प्रणालीले अनुरोधको जवाफमा ग्राहकलाई गलत वा खतरनाक जानकारी पठाउन सक्छ।
• जासुसी र ट्र्याकिङ: अनुरोधहरू इन्क्रिप्ट नगरिकन, कुनै विशेष प्रयोगकर्ता वा अनुप्रयोगले कुन साइटहरू पहुँच गरिरहेको छ भनी हेर्न मिडलवेयर प्रणालीहरूको लागि सजिलो हुन्छ। यद्यपि DNS एक्लै वेबसाइटमा भ्रमण गरिएको विशिष्ट पृष्ठ प्रकट गर्दैन, केवल अनुरोध गरिएको डोमेनहरू जान्न प्रणाली वा व्यक्तिको प्रोफाइल सिर्जना गर्न पर्याप्त छ।

स्रोत: क्यालिफोर्निया विश्वविद्यालय इर्विन

DoH - HTTPS मा DNS

DNS-over-HTTPS (DNS over HTTPS, DoH) Mozilla र Google द्वारा संयुक्त रूपमा प्रचार गरिएको एक प्रयोगात्मक प्रोटोकल हो। यसका लक्ष्यहरू DoT प्रोटोकलसँग मिल्दोजुल्दो छन् — DNS अनुरोधहरू र प्रतिक्रियाहरू इन्क्रिप्ट गरेर मानिसहरूको अनलाइन गोपनीयता बढाउने।

मानक DNS प्रश्नहरू UDP मा पठाइन्छ। अनुरोध र प्रतिक्रियाहरू जस्तै उपकरणहरू प्रयोग गरेर ट्र्याक गर्न सकिन्छ Wireshark। DoT ले यी अनुरोधहरूलाई इन्क्रिप्ट गर्छ, तर तिनीहरू अझै पनि नेटवर्कमा एकदमै फरक UDP ट्राफिकको रूपमा चिनिन्छन्।

DoH ले फरक दृष्टिकोण लिन्छ र HTTPS जडानहरूमा इन्क्रिप्टेड होस्टनाम रिजोल्युसन अनुरोधहरू पठाउँछ, जुन नेटवर्कमा कुनै अन्य वेब अनुरोध जस्तो देखिन्छ।

यो भिन्नताले प्रणाली प्रशासकहरू र नाम रिजोल्युसनको भविष्यका लागि दुवै महत्त्वपूर्ण प्रभावहरू छन्।

1. DNS फिल्टरिङ फिसिङ आक्रमणहरू, मालवेयर वितरण गर्ने साइटहरू, वा कर्पोरेट नेटवर्कमा अन्य सम्भावित रूपमा हानिकारक इन्टरनेट गतिविधिहरूबाट प्रयोगकर्ताहरूलाई जोगाउन वेब ट्राफिक फिल्टर गर्ने एक सामान्य तरिका हो। DoH प्रोटोकलले यी फिल्टरहरूलाई बाइपास गर्दछ, सम्भावित रूपमा प्रयोगकर्ताहरू र नेटवर्कलाई ठूलो जोखिममा पर्दाफास गर्दछ।
2. हालको नाम रिजोल्युसन मोडेलमा, नेटवर्कमा प्रत्येक उपकरणले कम वा कम उही स्थान (निर्दिष्ट DNS सर्भर) बाट DNS प्रश्नहरू प्राप्त गर्दछ। DoH, र विशेष गरी फायरफक्सको यसको कार्यान्वयनले भविष्यमा यो परिवर्तन हुन सक्छ भनेर देखाउँछ। कम्प्यूटरमा प्रत्येक अनुप्रयोगले विभिन्न DNS स्रोतहरूबाट डेटा प्राप्त गर्न सक्छ, समस्या निवारण, सुरक्षा, र जोखिम मोडेलिङ धेरै जटिल बनाउँछ।

स्रोत: www.varonis.com/blog/what-is-powershell

TLS मा DNS र HTTPS मा DNS बीच के भिन्नता छ?

TLS (DoT) मा DNS सँग सुरु गरौं। यहाँ मुख्य बिन्दु यो हो कि मूल DNS प्रोटोकल परिवर्तन गरिएको छैन, तर केवल एक सुरक्षित च्यानलमा सुरक्षित रूपमा प्रसारित हुन्छ। DoH, अर्कोतर्फ, अनुरोध गर्नु अघि DNS HTTP ढाँचामा राख्छ।

DNS निगरानी अलर्ट

संदिग्ध विसंगतिहरूको लागि तपाईंको नेटवर्कमा DNS ट्राफिकलाई प्रभावकारी रूपमा निगरानी गर्ने क्षमता उल्लंघनको प्रारम्भिक पत्ता लगाउन महत्त्वपूर्ण छ। Varonis Edge जस्ता उपकरणको प्रयोगले तपाईंलाई सबै महत्त्वपूर्ण मेट्रिक्सको शीर्षमा रहन र तपाईंको नेटवर्कमा प्रत्येक खाताको लागि प्रोफाइलहरू सिर्जना गर्ने क्षमता दिनेछ। तपाइँ एक निश्चित अवधिमा हुने कार्यहरूको संयोजनको परिणामको रूपमा उत्पन्न हुने अलर्टहरू कन्फिगर गर्न सक्नुहुन्छ।

अनुगमन DNS परिवर्तनहरू, खाता स्थानहरू, पहिलो पटक प्रयोग र संवेदनशील डेटामा पहुँच, र घण्टा पछि गतिविधिहरू मात्र केही मेट्रिकहरू हुन् जसलाई फराकिलो पहिचान चित्र निर्माण गर्न सहसंबद्ध गर्न सकिन्छ।

स्रोत: www.habr.com