Три уровня безопасности DNS

Низкий уровень безопасности

Безопасность нижнего уровня обеспечивается при стандартном развертывании службы DNS без каких-либо специальных мер обеспечения безопасности. Развертывать службу DNS с этим уровнем безопасности допускается только в таких сетях, где не стоит вопрос о целостности данных DNS или в частной сети, не подверженной угрозе внешнего подключения.

· Инфраструктура DNS организации полностью открыта для доступа из Интернета.

· Стандартное разрешение имен DNS выполняется всеми DNS-серверами в сети.

· Корневые ссылки на всех DNS-серверах указывают на корневые серверы для Интернета.

· На всех DNS-серверах разрешены передачи зон на любой сервер.

· Все DNS-серверы настроены на прослушивание всех своих IP-адресов.

· На всех DNS-серверах отключены средства предотвращения засорения кэша.

· Разрешены динамические обновления для всех зон DNS.

· Порт 53 протокола UDP и протокола TCP/IP на брандмауэре сети открыт как для адресов источников, так и для целевых адресов.

Средний уровень безопасности

Для обеспечения среднего уровня безопасности применяются средства безопасности службы DNS, не требующие выполнения DNS-серверов на контроллерах домена и хранения зон DNS в службе Active Directory.

· К инфраструктуре DNS организации имеется ограниченный доступ из Интернета.

· Все DNS-серверы настроены на использование пересылок для указания на заданный список внутренних DNS-серверов в тех случаях, когда они не могут разрешить имена локально.

· На всех DNS-серверах передача зон ограничена серверами, перечисленными в записи ресурса сервера имен NS для соответствующей зоны.

· DNS-серверы настроены на прослушивание заданных IP-адресов.

· На всех DNS-серверах включены средства предотвращения засорения кэша.

· Для всех зон DNS запрещены небезопасные динамические обновления.

· Внутренние DNS-серверы обмениваются информацией с внешними DNS-серверами через брандмауэр с ограниченным списком разрешенных исходных и целевых адресов.

· Корневые ссылки на внешних DNS-серверах, находящихся перед брандмауэром, указывают на корневые серверы для Интернета.

· Разрешение имен для Интернета выполняется исключительно на прокси-серверах и шлюзах.

Высокий уровень безопасности

Высокий уровень безопасности настраивается так же, как и безопасность среднего уровня; кроме того используются средства обеспечения безопасности, доступные в том случае, когда служба «DNS-сервера» выполняется на контроллере домена, а зоны DNS хранятся в Active Directory. Кроме того, при высоком уровне безопасности совершенно прекращается обмен информацией службы DNS с Интернетом. Такая настройка нетипична, но она рекомендуется в тех случаях, когда подключение к Интернету не обязательно.

· В инфраструктуре DNS организации отсутствует обмен информацией внутренних DNS-серверов с Интернетом.

· В сети применяется внутренний корневой DNS-сервер и пространство имен, где все полномочия для зон DNS являются внутренними.

· DNS-серверы, использующие пересылку, работают только с IP-адресами внутренних DNS-серверов.

· Передача зон на всех DNS-серверах ограничена заданными IP-адресами.

· DNS-серверы настроены на прослушивание заданных IP-адресов.

· На всех DNS-серверах включены средства предотвращения засорения кэша.

· Корневые ссылки на внутренних DNS-серверах указывают на внутренние DNS-серверы, на которых размещается корневая зона для внутреннего пространства имен.

· Все DNS-серверы выполняются на контроллерах доменов. В службе «DNS-сервера» настроен список разграничительного контроля доступа (DACL), позволяющий выполнять административные задачи на DNS-сервере только конкретным сотрудникам.

· Все зоны DNS хранятся в Active Directory. Настройка списка DACL позволяет создавать, удалять и изменять зоны DNS только конкретным сотрудникам.

· Настройка списков DACL для записей ресурсов DNS позволяет создавать, удалять и изменять данные DNS только конкретным сотрудникам.

· Для зон DNS, за исключением зон верхнего уровня и корневых зон, настроены безопасные динамические обновления, что вообще не позволяет применять динамические обновления.

Дата добавления: 2014-12-07