DNS सुरक्षा गाइड

कम्पनीले जे गरे पनि, सुरक्षा DNS यसको सुरक्षा योजनाको अभिन्न अंग हुनुपर्छ। नेटवर्क होस्ट नामहरूलाई IP ठेगानाहरूमा अनुवाद गर्ने नामकरण सेवाहरू, नेटवर्कमा लगभग हरेक अनुप्रयोग र सेवाद्वारा प्रयोग गरिन्छ।

यदि आक्रमणकारीले संस्थाको DNS माथि नियन्त्रण प्राप्त गर्छ भने, तिनीहरूले सजिलैसँग:

• सार्वजनिक रूपमा उपलब्ध स्रोतहरूमाथिको नियन्त्रण आफैंमा हस्तान्तरण गर्नुहोस्
• आगमन इमेलहरू, साथै वेब अनुरोधहरू र प्रमाणीकरण प्रयासहरू रिडिरेक्ट गर्नुहोस्
• SSL/TLS प्रमाणपत्रहरू सिर्जना र प्रमाणित गर्नुहोस्

यो गाइडले DNS सुरक्षालाई दुई दृष्टिकोणबाट हेर्छ:

1. DNS माथि निरन्तर निगरानी र नियन्त्रण लागू गर्नुहोस्
2. DNSSEC, DOH, र DoT जस्ता नयाँ DNS प्रोटोकलहरूले कसरी प्रसारित DNS प्रश्नहरूको अखण्डता र गोपनीयता सुरक्षित गर्न मद्दत गर्न सक्छन्

DNS सुरक्षा भनेको के हो?

DNS सुरक्षाको अवधारणामा दुई महत्त्वपूर्ण घटकहरू समावेश छन्:

1. नेटवर्क होस्ट नामहरूलाई IP ठेगानाहरूमा अनुवाद गर्ने DNS सेवाहरूको समग्र अखण्डता र उपलब्धता सुनिश्चित गर्दै।
2. तपाईंको नेटवर्कमा जहाँसुकै सम्भावित सुरक्षा समस्याहरू पहिचान गर्न DNS गतिविधि निगरानी गर्नुहोस्।

DNS किन आक्रमणको जोखिममा छ?

DNS प्रविधि इन्टरनेटको सुरुवातमै सिर्जना गरिएको थियो, कसैले नेटवर्क सुरक्षाको बारेमा सोच्नुभन्दा धेरै अघि। DNS ले प्रमाणीकरण वा इन्क्रिप्शन बिना काम गर्छ, कुनै पनि प्रयोगकर्ताबाट आएका अनुरोधहरूलाई अन्धाधुन्ध प्रशोधन गर्छ।

यस कारणले गर्दा, प्रयोगकर्तालाई छल गर्ने र नाम-देखि-आईपी ठेगाना अनुवाद वास्तवमा कहाँ हुन्छ भन्ने बारे नक्कली जानकारी दिने धेरै तरिकाहरू छन्।

DNS सुरक्षा: समस्याहरू र घटकहरू

DNS सुरक्षामा धेरै मुख्य घटकहरू हुन्छन्: घटकहरू, पूर्ण सुरक्षा सुनिश्चित गर्न प्रत्येकलाई ध्यानमा राख्नुपर्छ:

• सर्भर सुरक्षा र व्यवस्थापन प्रक्रियाहरूलाई सुदृढ पार्दै: सर्भर सुरक्षा बढाउनुहोस् र मानक कमिसनिङ टेम्प्लेट सिर्जना गर्नुहोस्
• प्रोटोकल सुधारहरू: DNSSEC, DoT वा DoH लागू गर्नुहोस्
• विश्लेषण र रिपोर्टिङ: घटनाहरूको अनुसन्धान गर्दा थप सन्दर्भको लागि आफ्नो SIEM प्रणालीमा DNS घटना लगहरू थप्नुहोस्।
• साइबर इन्टेलिजेन्स र खतरा पत्ता लगाउने: सक्रिय खतरा खुफिया फिडको सदस्यता लिनुहोस्
• स्वचालन: प्रक्रियाहरू स्वचालित गर्न सकेसम्म धेरै स्क्रिप्टहरू सिर्जना गर्नुहोस्

माथि उल्लेख गरिएका उच्च-स्तरीय कम्पोनेन्टहरू DNS सुरक्षा हिमशिलाको टुप्पो मात्र हुन्। अर्को खण्डमा, हामी तपाईंलाई जान्न आवश्यक पर्ने थप विशिष्ट प्रयोगका केसहरू र उत्तम अभ्यासहरूमा डुब्नेछौं।

DNS आक्रमणहरू

• DNS स्पुफिङ वा क्यास विषाक्तता: प्रयोगकर्ताहरूलाई अर्को स्थानमा रिडिरेक्ट गर्न DNS क्यासलाई हेरफेर गर्न प्रणालीको कमजोरीको फाइदा उठाउँदै
• DNS टनेलिङ: मुख्यतया रिमोट जडान सुरक्षा बाइपास गर्न प्रयोग गरिन्छ
• DNS अवरोध: डोमेन रजिस्ट्रार परिवर्तन गरेर सामान्य DNS ट्राफिकलाई अर्को लक्षित DNS सर्भरमा रिडिरेक्ट गर्नुहोस्।
• NXDOMAIN आक्रमण: प्रतिक्रियालाई जबरजस्ती गर्न दुर्भावनापूर्ण डोमेन अनुरोधहरू पठाएर आधिकारिक DNS सर्भरमा DDoS आक्रमण सञ्चालन गर्ने
• फ्यान्टम डोमेन: DNS रिजल्भरलाई अवस्थित नभएका डोमेनहरूबाट प्रतिक्रियाको लागि पर्खन बाध्य पार्छ, जसले गर्दा कार्यसम्पादन कमजोर हुन्छ।
• अनियमित सबडोमेनमा आक्रमण: सम्झौता गरिएका होस्टहरू र बोटनेटहरूले लाइभ डोमेनमा DDoS आक्रमण सुरु गर्छन्, तर DNS सर्भरलाई रेकर्ड लुकअप गर्न र सेवा कब्जा गर्न झुटा सबडोमेनहरूमा आफ्नो आगो केन्द्रित गर्छन्।
• डोमेन अवरुद्ध: DNS सर्भर स्रोतहरू ब्लक गर्न धेरै स्पाम प्रतिक्रियाहरू पठाउँदै छ
• ग्राहक उपकरणबाट बोटनेट आक्रमण: ट्राफिक अनुरोधहरूले ओभरलोड गर्न कुनै विशेष वेबसाइटमा कम्प्युटिङ पावर केन्द्रित गर्ने कम्प्युटर, मोडेम, राउटर र अन्य उपकरणहरूको संग्रह।

DNS आक्रमणहरू

अन्य प्रणालीहरूमा आक्रमण गर्न DNS प्रयोग गर्ने आक्रमणहरू (अर्थात् DNS रेकर्डहरू परिवर्तन गर्नु अन्तिम लक्ष्य होइन):

• द्रुत प्रवाह
• एकल फ्लक्स नेटवर्कहरू
• डुअल फ्लक्स नेटवर्कहरू
• DNS टनेलिङ

DNS आक्रमणहरू

आक्रमणकारीलाई आवश्यक पर्ने IP ठेगाना DNS सर्भरबाट फिर्ता गरिने आक्रमणहरू:

• DNS स्पुफिङ वा क्यास विषाक्तता
• DNS अपहरण

DNSSEC भनेको के हो?

DNSSEC - डोमेन नाम प्रणाली सुरक्षा मोड्युलहरू - प्रत्येक विशिष्ट DNS अनुरोधको बारेमा सामान्य जानकारी जान्न आवश्यक बिना DNS रेकर्डहरू प्रमाणित गर्न प्रयोग गरिन्छ।

DNSSEC ले डोमेन नाम क्वेरीको नतिजा वैध स्रोतबाट आएको हो भनी प्रमाणित गर्न डिजिटल सिग्नेचर कुञ्जीहरू (PKI) प्रयोग गर्दछ।
DNSSEC कार्यान्वयन गर्नु उद्योगको उत्कृष्ट अभ्यास मात्र होइन, यसले धेरैजसो DNS आक्रमणहरूबाट बच्न पनि प्रभावकारी रूपमा मद्दत गर्छ।

DNSSEC ले कसरी काम गर्छ

DNSSEC ले TLS/HTTPS जस्तै काम गर्छ, DNS रेकर्डहरूलाई डिजिटल रूपमा हस्ताक्षर गर्न सार्वजनिक/निजी कुञ्जी जोडीहरू प्रयोग गर्दछ। प्रक्रियाको सामान्य सिंहावलोकन:

1. DNS रेकर्डहरू निजी र निजी कुञ्जी जोडीसँग हस्ताक्षर गरिएका हुन्छन्।
2. DNSSEC क्वेरी प्रतिक्रियाहरूमा अनुरोध गरिएको रेकर्ड, साथै हस्ताक्षर र सार्वजनिक कुञ्जी समावेश हुन्छ।
3. त्यसपछि सार्वजनिक कुञ्जी रेकर्डिङ र हस्ताक्षरको प्रामाणिकता तुलना गर्न प्रयोग गरिन्छ।

DNS सुरक्षा र DNSSEC

DNSSEC DNS क्वेरीहरूको अखण्डता प्रमाणित गर्ने माध्यम हो। यसले DNS गोपनीयतालाई असर गर्दैन। अर्को शब्दमा, DNSSEC ले तपाईंलाई विश्वास दिलाउन सक्छ कि तपाईंको DNS क्वेरीको प्रतिक्रियामा छेडछाड गरिएको छैन, तर कुनै पनि आक्रमणकारीले यी परिणामहरू तपाईंलाई प्रसारित भएको रूपमा देख्न सक्छ।

DoT - TLS माथि DNS

ट्रान्सपोर्ट लेयर सेक्युरिटी (TLS) नेटवर्क जडान मार्फत प्रसारित जानकारीको सुरक्षाको लागि एक क्रिप्टोग्राफिक प्रोटोकल हो। एक पटक क्लाइन्ट र सर्भर बीच सुरक्षित TLS जडान स्थापित भएपछि, प्रसारित भइरहेको डाटा इन्क्रिप्ट गरिएको हुन्छ र कुनै पनि मध्यस्थकर्ताहरूले देख्न सक्दैनन्।

TLS तपाईंको वेब ब्राउजरमा HTTPS (SSL) को भागको रूपमा प्रायः प्रयोग गरिन्छ, किनकि अनुरोधहरू सुरक्षित HTTP सर्भरहरूमा पठाइन्छ।

DNS-over-TLS (DoT) ले नियमित DNS प्रश्नहरूको लागि UDP ट्राफिक इन्क्रिप्ट गर्न TLS प्रोटोकल प्रयोग गर्दछ।
यी अनुरोधहरूलाई सादा पाठमा इन्क्रिप्ट गर्नाले अनुरोध गर्ने प्रयोगकर्ताहरू वा अनुप्रयोगहरूलाई धेरै आक्रमणहरूबाट जोगाउन मद्दत गर्दछ।

• MitM, वा "बीचमा मानिस": इन्क्रिप्शन बिना, क्लाइन्ट र आधिकारिक DNS सर्भर बीचको मध्यवर्ती प्रणालीले सम्भावित रूपमा प्रश्नको जवाफमा क्लाइन्टलाई गलत वा दुर्भावनापूर्ण जानकारी पठाउन सक्छ।
• जासुसी र ट्र्याकिङ: अनुरोधहरू इन्क्रिप्ट नगरीकन, मध्यस्थकर्ता प्रणालीहरूको लागि कुनै विशेष प्रयोगकर्ता वा अनुप्रयोगले कुन साइटहरू पहुँच गरिरहेको छ भनेर हेर्न सजिलो हुन्छ। DNS ले मात्र तपाईंले भ्रमण गरिरहनुभएको साइटको सही पृष्ठ बताउने छैन, तर अनुरोध गरिएको डोमेनहरू थाहा पाउनु मात्र प्रणाली वा व्यक्तिको प्रोफाइल निर्माण गर्न पर्याप्त हुन्छ।

स्रोत: क्यालिफोर्निया विश्वविद्यालय इर्विन

DoH - HTTPS माथि DNS

DNS-over-HTTPS (DoH) मोजिला र गुगलद्वारा संयुक्त रूपमा प्रवर्द्धन गरिएको एक प्रयोगात्मक प्रोटोकल हो। यसको लक्ष्यहरू DoT प्रोटोकल जस्तै छन् - DNS अनुरोध र प्रतिक्रियाहरू इन्क्रिप्ट गरेर मानिसहरूको अनलाइन गोपनीयता बढाउनु।

मानक DNS प्रश्नहरू UDP मार्फत प्रसारित हुन्छन्। प्रश्नहरू र प्रतिक्रियाहरू जस्ता उपकरणहरू प्रयोग गरेर निगरानी गर्न सकिन्छ Wireshark। DoT ले यी अनुरोधहरूलाई इन्क्रिप्ट गर्छ, तर तिनीहरूलाई अझै पनि नेटवर्कमा स्पष्ट UDP ट्राफिकको रूपमा पहिचान गरिन्छ।

DoH ले फरक दृष्टिकोण अपनाउँछ र HTTPS जडानहरूमा एन्क्रिप्टेड होस्टनाम रिजोल्युसन अनुरोधहरू प्रसारण गर्दछ, जुन नेटवर्कमा अन्य कुनै पनि वेब अनुरोधको रूपमा देखा पर्दछ।

यो भिन्नताले प्रणाली प्रशासकहरू र भविष्यको नाम समाधान दुवैको लागि धेरै महत्त्वपूर्ण प्रभाव पार्छ।

1. DNS फिल्टरिङ भनेको प्रयोगकर्ताहरूलाई फिसिङ आक्रमण, मालवेयर-वितरण साइटहरू, वा कर्पोरेट नेटवर्कमा अन्य सम्भावित खतरनाक इन्टरनेट गतिविधिबाट जोगाउन वेब ट्राफिक फिल्टर गर्ने एक सामान्य तरिका हो। DoH प्रोटोकलले यी फिल्टरहरूलाई बाइपास गर्छ, जसले गर्दा प्रयोगकर्ताहरू र नेटवर्कलाई सम्भावित रूपमा बढी जोखिममा पार्छ।
2. हालको नाम रिजोल्युसन मोडेलमा, नेटवर्कमा भएका प्रत्येक उपकरणले केही हदसम्म एउटै ठाउँबाट (निर्दिष्ट DNS सर्भर) DNS अनुरोधहरू प्राप्त गर्दछ। DoH, र विशेष गरी Firefox को कार्यान्वयनले देखाउँछ कि यो भविष्यमा परिवर्तन हुन सक्छ। कम्प्युटरमा रहेको प्रत्येक अनुप्रयोगले फरक-फरक DNS स्रोतहरूबाट आफ्नो डेटा प्राप्त गर्न सक्छ, जसले गर्दा समस्या निवारण, सुरक्षा र जोखिम मोडेलिङ धेरै गाह्रो हुन्छ।

स्रोत: www.varonis.com/blog/what-is-powershell

TLS माथि DNS र HTTPS माथि DNS बीच के भिन्नता छ?

TLS (DoT) मा DNS बाट सुरु गरौं। यहाँ मुख्य ध्यान मूल DNS प्रोटोकल परिमार्जन गरिएको छैन, तर केवल सुरक्षित च्यानल मार्फत सुरक्षित रूपमा प्रसारित गरिएको छ। अर्कोतर्फ, DoH ले अनुरोध गर्नु अघि HTTP ढाँचामा DNS लाई बेर्छ।

DNS अनुगमन अलर्टहरू

तपाईंको नेटवर्कमा शंकास्पद विसंगतिहरूको लागि DNS ट्राफिकलाई प्रभावकारी रूपमा निगरानी गर्ने क्षमता उल्लङ्घनको प्रारम्भिक पहिचानको लागि महत्त्वपूर्ण छ। भेरोनिस एज जस्तो उपकरण प्रयोग गर्नाले तपाईंलाई सबै महत्त्वपूर्ण मेट्रिक्सको शीर्षमा रहन र तपाईंको नेटवर्कमा प्रत्येक खाताको लागि प्रोफाइलहरू सिर्जना गर्ने क्षमता दिनेछ। तपाईं समय अवधिमा हुने कार्यहरूको संयोजनको आधारमा उत्पन्न हुने अलर्टहरू सेट अप गर्न सक्नुहुन्छ।

DNS परिवर्तनहरूको अनुगमन, खाता स्थानहरू, पहिलो पटक प्रयोग र संवेदनशील डेटामा पहुँच, र अफ-आवर गतिविधिहरू केही मेट्रिक्स मात्र हुन् जसलाई थप पूर्ण पत्ता लगाउने तस्वीर निर्माण गर्न सहसम्बन्धित गर्न सकिन्छ।

स्रोत: www.habr.com