Ich habe einige Zeit damit verbracht, mich mit diesem Thema zu befassen, und kann anscheinend keine genaue Antwort finden. Daher bin ich ziemlich sicher, dass es sich nicht um ein Duplikat handelt, und obwohl meine Frage auf einem Sicherheitsbedürfnis basiert, denke ich, dass es immer noch sicher ist Fragen Sie hier, aber lassen Sie es mich wissen, wenn ich die Sicherheitsgemeinschaft bewegen muss.
Verwenden DNS-Abfragen im Wesentlichen jemals TCP (wenn ja, in welchem Szenario könnte dies auftreten)? Wieder spreche ich nur über Fragen. Können sie über TCP reisen? Wenn Domains nur maximal 253 Bytes lang sind und UDP-Pakete bis zu 512 Bytes lang sind, werden Abfragen dann nicht immer als UDP ausgeführt? Ich dachte nicht, dass eine auflösbare Abfrage groß genug sein könnte, um die Verwendung von TCP zu erfordern. Wenn ein DNS-Server jemals eine Anfrage für eine Domain mit mehr als 253 Bytes erhalten hat, würde der Server diese löschen / nicht versuchen, sie aufzulösen? Ich bin mir sicher, dass ich hier einige falsche Annahmen getroffen habe.
In einigen Fällen arbeite ich mit der Sicherheitsgruppe zusammen, um DNS-Abfragen in ihr Sicherheitsüberwachungstool zu integrieren. Aus verschiedenen Gründen haben wir beschlossen, diesen Datenverkehr über die Standard-Paketerfassung auf DNS-Servern und Domänencontrollern zu erfassen. Die Hauptanforderung besteht darin, alle DNS-Abfragen zu erfassen, damit festgestellt werden kann, welcher Client versucht hat, eine bestimmte Domäne aufzulösen. Basierend auf dieser Anforderung geht es uns nicht darum, DNS-Antworten oder andere verkehrsähnliche Zonentransfers zu erfassen, was auch darauf zurückzuführen ist, dass wir das Protokollvolumen so weit wie möglich begrenzen müssen. Daher planen wir, nur DNS-Abfragen zu erfassen, die für den DNS-Server bestimmt sind und über UDP gesendet werden. Für mehr Kontext (eine Art von Fragenspektrum, das sich hier einschleicht) wurde jetzt die Frage aufgeworfen, ob wir die Sicherheit erweitern müssen. ' s Sichtbarkeit, damit sie Aktivitäten wie verdeckte Kanäle überwachen können, die über DNS ausgeführt werden (was die Erfassung von DNS-Antworten und anschließendem TCP-Verkehr erforderlich machen würde). Aber selbst in einem solchen Szenario dachte ich, dass jeder ausgehende DNS-Verkehr in Form von Suchanfragen erfolgt und dass diese immer über UDP erfolgen, auch wenn sie von einer böswilligen Quelle stammen (aufgrund meiner Überlegungen im ersten Absatz). Das wirft also einige zusätzliche Fragen auf:
Würden wir nicht mindestens die Hälfte des Gesprächs mit dem von mir skizzierten Ansatz aufzeichnen? Oder würde ein Client jemals DNS-Datenverkehr senden, der nicht in Form einer Abfrage vorliegt? (Vielleicht wie eine Art Antwort auf die Antwort eines DNS-Servers, und am Ende geht es vielleicht über TCP aus)
Können DNS-Abfragen für die Verwendung von TCP geändert werden? Würde ein DNS-Server eine über TCP eingehende DNS-Abfrage akzeptieren und darauf antworten?
Ich bin mir nicht sicher, ob dies relevant ist, aber wir beschränken DNS-Anfragen auf autorisierte DNS-Server und blockieren den gesamten ausgehenden Datenverkehr über Port 53. Ich bin definitiv ein Anfänger. Es tut mir leid, wenn meine Frage nicht konform ist, und lassen Sie es mich wissen wie soll ich das modifizieren.