Documentation produit
Citrix ADC
Current Release 13.0 12.1 11.1
Voir PDF

Options de sécurité DNS

August 20, 2021
Contribution de: 
C

Vous pouvez désormais configurer les options de sécurité DNS à partir de la page Ajouter un profil de sécurité DNS dans l’interface graphique Citrix ADC. Pour configurer les options de sécurité DNS à partir de l’interface de ligne de commande Citrix ADC ou de l’API NITRO, utilisez les composants AppExpert. Pour obtenir des instructions, reportez-vous à la documentation de l’API NITRO et au Guide de référence des commandes Citrix ADC.

Une option, la protection contre l’empoisonnement du cache, est activée par défaut et ne peut pas être désactivée. Vous pouvez appliquer les autres options à tous les points de terminaison DNS ou à des serveurs virtuels DNS spécifiques dans votre déploiement, comme indiqué dans le tableau suivant :

Option de sécurité Peut être appliqué à tous les points de terminaison DNS ? Peut être appliqué à des serveurs virtuels DNS spécifiques ?
Protection DDoS DNS Oui Oui
Gérer les exceptions : serveurs sur liste blanche/liste noire Oui Oui
Empêcher les attaques de sous-domaine aléatoires Oui Oui
Contourner le cache Oui Non
Imposer transactions DNS sur TCP Oui Oui
Fournissez les détails de la racine dans la réponse DNS Oui Non

Protection contre l’empoisonnement de la cache

Une attaque par empoisonnement du cache redirige les utilisateurs des sites légitimes vers des sites malveillants.

Par exemple, l’attaquant remplace une adresse IP authentique dans le cache DNS par une adresse IP fausse qu’il contrôle. Lorsque le serveur répond à des demandes provenant de ces adresses IP, le cache est empoisonné. Les demandes ultérieures d’adresses du domaine sont redirigées vers le site de l’attaquant.

L’option Protection contre l’empoisonnement du cache empêche l’insertion de données corrompues dans la base de données qui met en cache les demandes et les réponses du serveur DNS. Cette fonctionnalité est intégrée aux appliances Citrix ADC et est toujours activée.

Protection DDoS DNS

Vous pouvez configurer l’option Protection DDoS DNS pour chaque type de requête que vous soupçonnez d’être utilisée dans une attaque DDoS. Pour chaque type, l’appliance supprime toutes les demandes reçues après le dépassement d’une valeur seuil pour le nombre de demandes reçues au cours d’une période spécifiée (tranche de temps). Vous pouvez également configurer cette option pour consigner un avertissement sur le serveur SYSLOG. Par exemple :

  • DROP : - Sélectionnez cette option pour déposer des requêtes sans journalisation. Supposons que vous ayez activé une protection d’enregistrement avec une valeur de seuil 15, une tranche de temps de 1 seconde et que vous avez choisi DROP. Lorsque les demandes entrantes dépassent 15 requêtes en 1 seconde, les paquets commencent à être supprimés.
  • AVERTISSEMENT : - Sélectionnez cette option pour enregistrer et déposer les demandes. Supposons que vous ayez activé une protection d’enregistrement avec une valeur de seuil 15, une tranche de temps de 1 seconde et que vous avez choisi WARN. Lorsque les demandes entrantes dépassent 15 requêtes en 1 seconde, un message d’avertissement est enregistré indiquant une menace, puis les paquets sont supprimés. Citrix vous recommande de définir des valeurs de seuil pour WARN inférieures à la valeur seuil de DROP pour un type d’enregistrement. Ce paramètre aide les administrateurs à identifier une attaque en consignant un message d’avertissement avant que l’attaque réelle ne se produise et Citrix ADC commence à abandonner les demandes entrantes.

Définir un seuil pour le trafic entrant à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Sur la page Profil de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
  4. Développez la protection DDoS DNS.
    1. Sélectionnez le type d’enregistrement et entrez la limite de seuil et la valeur de tranche temporelle.
    2. Sélectionnez DROP ou WARN .
    3. Répétez les étapes a et b pour chacun des autres types d’enregistrement contre lesquels vous souhaitez protéger.
  5. Cliquez sur Soumettre.

Gérer les exceptions — serveurs de listes d’autorisations/listes de blocage

Gérer les exceptions vous permet d’ajouter des exceptions à la liste de blocage ou à autoriser la liste des noms de domaine et des adresses IP. Par exemple :

  • Lorsqu’une adresse IP particulière est identifiée en train de publier une attaque, cette adresse IP peut être ajoutée à la liste de blocage.
  • Lorsque les administrateurs constatent qu’il y a un nombre inattendu de demandes pour un nom de domaine particulier, il est possible d’ajouter ce nom de domaine à la liste de blocage.
  • NXDomains et certains des domaines existants pouvant consommer les ressources du serveur peuvent être mis sur liste noire.
  • Lorsque les administrateurs autorisent les noms de domaine de liste ou les adresses IP, les requêtes ou requêtes provenant uniquement de ces domaines ou adresses IP reçoivent une réponse et toutes les autres sont supprimées.

Créez une liste d’autorisation ou une liste bloquée à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
    1. Développez Gérer les exceptions — Liste d’autorisation et de blocage des serveurs.
    2. Sélectionnez Bloquer pour bloquer les requêtes des domaines/adresses figurant sur la liste noire ou Autoriser uniquement pour autoriser les requêtes provenant des domaines/adresses figurant sur la liste blanche.
    3. Dans la zone Nom de domaine/Adresse IP, entrez les noms de domaine, adresses IP ou plages d’adresses IP. Utilisez des virgules pour séparer les entrées. Remarque : Si vous sélectionnez l’option avancée, vous pouvez utiliser les options « commencer par », « contient » et « se termine par » pour définir les critères. Par exemple, vous pouvez définir des critères pour bloquer une requête DNS commençant par « image » ou se terminant par « .co.ru » ou contenant des « sites mobiles ». «
  4. Cliquez sur Soumettre.

Empêcher les attaques de sous-domaine aléatoires

Dans les attaques aléatoires de sous-domaines, les requêtes sont envoyées à des sous-domaines aléatoires et inexistants de domaines légitimes. Cette action augmente la charge sur les résolveurs et serveurs DNS. En conséquence, ils peuvent devenir surchargés et ralentir.

L’option Empêcher les attaques de sous-domaine aléatoires demande au répondeur DNS de supprimer les requêtes DNS qui dépassent une longueur spécifiée.

Supposons que example.com est un nom de domaine que vous possédez et que, par conséquent, la demande de résolution vient à votre serveur DNS. L’attaquant peut ajouter un sous-domaine aléatoire à example.com et envoyer une demande. En fonction de la longueur de requête spécifiée et du nom de domaine complet, les requêtes aléatoires sont supprimées.

Par exemple, si la requête est www.image987trending.example.com, elle est supprimée si la longueur de la requête est définie sur 20.

Spécifier une longueur de requête DNS à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
    1. Développez Empêcher les attaques de sous-domaine aléatoires.
    2. Entrez la valeur numérique de la longueur de la requête.
  4. Cliquez sur Soumettre.

Contournement du cache

Lors d’une attaque, les données déjà mises en cache doivent être protégées. Pour protéger le cache, de nouvelles demandes pour certains domaines ou types d’enregistrements ou codes de réponse peuvent être envoyées aux serveurs d’origine au lieu de les mettre en cache.

L’option Contournement du cache indique à l’appliance Citrix ADC de contourner le cache pour les domaines, les types d’enregistrements ou les codes de réponse spécifiés lorsqu’une attaque est détectée.

Contournez le cache pour des domaines ou des types d’enregistrement ou des types de réponse spécifiés à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, développez Contournement du cache et entrez les noms de domaine. Vous pouvez également choisir les types d’enregistrement ou les types de réponses pour lesquels le cache doit être contourné.
    • Cliquez sur Domaines et saisissez les noms de domaine. Utilisez des virgules pour séparer les entrées.
    • Cliquez sur Types d’enregistrement et choisissez les types d’enregistrement.
    • Cliquez sur Types de réponse et choisissez le type de réponse.
  4. Cliquez sur Soumettre.

Imposer transactions DNS sur TCP

Certaines attaques DNS peuvent être évitées si les transactions sont forcées d’utiliser TCP au lieu d’UDP. Par exemple, lors d’une attaque de bot, le client envoie un flot de requêtes mais ne peut pas gérer les réponses. Si l’utilisation de TCP est appliquée pour ces transactions, alors les bots ne peuvent pas comprendre les réponses et ne peuvent donc pas envoyer de demandes via TCP.

Forcer les domaines ou les types d’enregistrements à fonctionner au niveau TCP à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Dans la page Ajouter un profil de sécurité DNS, développez Imposer les transactions DNS sur TCP et entrez les noms de domaine et/ ou choisissez les types d’enregistrement pour lesquels les transactions DNS doivent être appliquées sur TCP.
    • Cliquez sur Domaines et saisissez les noms de domaine. Utilisez des virgules pour séparer les entrées.
    • Cliquez sur Types d’enregistrements, puis choisissez les types d’enregistrements.
  4. Cliquez sur Soumettre.

Fournissez les détails de la racine dans la réponse DNS

Dans certaines attaques, l’attaquant envoie un flot de requêtes pour des domaines non liés qui ne sont pas configurés ou mis en cache sur l’appliance Citrix ADC. Si le dnsRootReferral paramètre est ENABLED, il expose tous les serveurs racine.

L’option Fournir les détails racine dans la réponse DNS demande à l’appliance Citrix ADC de restreindre l’accès aux références racine pour une requête qui n’est pas configurée ou mise en cache. L’appliance envoie une réponse vide.

L’option Fournissez les détails racine dans l’option Réponse DNS peut également atténuer ou bloquer les attaques d’amplification. Lorsque le paramètre DNSRootReferral est DÉSACTIVÉ, il n’y a pas de références racine dans les réponses Citrix ADC et, par conséquent, elles ne sont pas amplifiées.

Activer ou désactiver l’accès au serveur racine à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
    1. Développez Fournissez les détails racine dans la réponse DNS .
    2. Cliquez sur ON ou OFF pour autoriser ou restreindre l’accès au serveur racine.
  4. Cliquez sur Soumettre.
Options de sécurité DNS
August 20, 2021
Contribution de: 
C
August 20, 2021
Contribution de: 
C

Dans cet article

Commentaires sur le site | Confidentialité et mentions légales | Préférences de cookies | Consent Settings
© 1999- Citrix Systems, Inc. All rights reserved.