In Citrix ADC 13.0
In Citrix ADC
In All products
Documentation produit
In Citrix ADC 13.0
In Citrix ADC
In All products
Citrix ADC
Current Release 12.1 11.1
Voir PDF

Options de sécurité DNS

January 21, 2021
Contribution de: 
C

Vous pouvez désormais configurer les options de sécurité DNS à partir de la page Ajouter un profil de sécurité DNS dans l’interface graphique Citrix ADC. Pour configurer les options de sécurité DNS à partir de l’interface de ligne de commande Citrix ADC ou de l’API NITRO, utilisez les composants AppExpert. Pour obtenir des instructions, reportez-vous à la documentation de l’API NITRO et au Guide de référence des commandes Citrix ADC.

Une option, la protection contre l’empoisonnement du cache, est activée par défaut et ne peut pas être désactivée. Vous pouvez appliquer les autres options à tous les points de terminaison DNS ou à des serveurs virtuels DNS spécifiques dans votre déploiement, comme indiqué dans le tableau suivant :

Option de sécurité Peut être appliqué à tous les points de terminaison DNS ? Peut être appliqué à des serveurs virtuels DNS spécifiques ?
Protection DDoS DNS Oui Oui
Gérer les exceptions : serveurs sur liste blanche/liste noire Oui Oui
Empêcher les attaques de sous-domaine aléatoires Oui Oui
Contourner le cache Oui Non
Imposer transactions DNS sur TCP Oui Oui
Fournissez les détails de la racine dans la réponse DNS Oui Non

Protection contre l’empoisonnement de la cache

Une attaque par empoisonnement du cache redirige les utilisateurs des sites légitimes vers des sites malveillants.

Par exemple, l’attaquant remplace une adresse IP authentique dans le cache DNS par une adresse IP fausse qu’il contrôle. Lorsque le serveur répond aux demandes de ces adresses, le cache est empoisonné et les requêtes suivantes pour les adresses du domaine sont redirigées vers le site de l’attaquant.

L’option Protection contre l’empoisonnement du cache empêche l’insertion de données corrompues dans la base de données qui met en cache les demandes et les réponses du serveur DNS. Il s’agit d’une fonctionnalité intégrée des appliances Citrix ADC et est toujours activée.

Protection DDoS DNS

Vous pouvez configurer l’option Protection DDoS DNS pour chaque type de requête que vous soupçonnez d’être utilisée dans une attaque DDoS. Pour chaque type, l’appliance Citrix ADC supprime toutes les demandes reçues après le dépassement d’une valeur seuil pour le nombre de demandes reçues au cours d’une période spécifiée (tranche de temps). Vous pouvez également configurer cette option pour consigner un avertissement sur le serveur SYSLOG. Par exemple :

  • DROP : - Supposons que vous avez activé une protection d’enregistrement avec une valeur de seuil 15, une tranche de temps comme 1 seconde et choisi DROP. Lorsque les requêtes entrantes dépassent 15 en 1 seconde, les paquets commencent à être abandonnés.
  • WARN : - Supposons que vous avez activé une protection d’enregistrement avec une valeur de seuil 15, une tranche de temps comme 1 seconde et choisi WARN. Lorsque les requêtes entrantes dépassent environ 15 requêtes en 1 seconde, un message d’avertissement est enregistré indiquant une menace, puis les paquets commencent à être abandonnés. Il est recommandé de définir des valeurs de seuil pour WARN plus petites que celles de DROP pour un type d’enregistrement. Cela aidera les administrateurs à identifier une attaque en enregistrant un message d’avertissement avant que l’attaque ne se produise et que Citrix ADC commence à supprimer les demandes entrantes.

Définir un seuil pour le trafic entrant à l’aide de l’interface graphique Citrix ADC

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Sur la page Profil de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
  4. Développez la protection DDoS DNS.
    1. Sélectionnez le type d’enregistrement et entrez la limite de seuil et la valeur de tranche temporelle.
    2. Sélectionnez DROP ou WARN .
    3. Répétez les étapes a et b pour chacun des autres types d’enregistrement contre lesquels vous souhaitez protéger.
  5. Cliquez sur Soumettre.

Gérer les exceptions : serveurs sur liste blanche/liste noire

Gérer les exceptions vous permet d’ajouter des exceptions aux noms de domaine et adresses IP de liste noire ou blanche. Par exemple :

  • Lorsqu’une adresse IP particulière est identifiée et postée une attaque, cette adresse IP peut être inscrite sur la liste noire.
  • Lorsque les administrateurs constatent qu’il y a une demande inattendue pour un nom de domaine particulier, alors ce nom de domaine peut être mis sur la liste noire.
  • NXDomains et certains des domaines existants qui peuvent consommer les ressources du serveur peuvent être mis sur la liste noire.
  • Lorsque les administrateurs mettent en liste blanche des noms de domaine ou des adresses IP, les requêtes ou requêtes provenant uniquement de ces domaines ou adresses IP reçoivent une réponse et toutes les autres sont supprimées.

Créer une liste blanche ou une liste noire à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
    1. Développez Gérer les exceptions — Liste d’autorisation et de blocage des serveurs.
    2. Sélectionnez Bloquer pour bloquer les requêtes des domaines/adresses figurant sur la liste noire ou Autoriser uniquement pour autoriser les requêtes provenant des domaines/adresses figurant sur la liste blanche.
    3. Dans la zone Nom de domaine/Adresse IP, entrez les noms de domaine, adresses IP ou plages d’adresses IP. Utilisez des virgules pour séparer les entrées. Remarque : Si vous sélectionnez l’option avancée, vous pouvez utiliser les options « commencer par », « contient » et « se termine par » pour définir les critères. Par exemple, vous pouvez définir des critères pour bloquer une requête DNS commençant par « image » ou se terminant par « .co.ru » ou contenant « mobilesites ».
  4. Cliquez sur Soumettre.

Empêcher les attaques de sous-domaine aléatoires

Dans les attaques aléatoires de sous-domaines, les requêtes sont envoyées à des sous-domaines aléatoires et inexistants de domaines légitimes. Cela augmente la charge sur les serveurs et les résolveurs DNS. En conséquence, ils peuvent devenir surchargés et ralentir.

L’option Empêcher les attaques de sous-domaine aléatoires demande au répondeur DNS de supprimer les requêtes DNS qui dépassent une longueur spécifiée.

Supposons que example.com est un nom de domaine que vous possédez et que, par conséquent, la demande de résolution vient à votre serveur DNS. L’attaquant peut ajouter un sous-domaine aléatoire à example.com et envoyer une demande. En fonction de la longueur de requête spécifiée et du nom de domaine complet, les requêtes aléatoires seront supprimées.

Par exemple, si la requête est www.image987trending.example.com, elle sera supprimée si la longueur de la requête est définie sur 20.

Spécifier une longueur de requête DNS à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
    1. Développez Empêcher les attaques de sous-domaine aléatoires.
    2. Entrez la valeur numérique de la longueur de la requête.
  4. Cliquez sur Soumettre.

Contournement du cache

Lors d’une attaque, les données déjà mises en cache doivent être protégées. Pour protéger le cache, de nouvelles demandes pour certains domaines ou types d’enregistrements ou codes de réponse peuvent être envoyées aux serveurs d’origine au lieu de les mettre en cache.

L’option Contournement du cache indique à l’appliance Citrix ADC de contourner le cache pour les domaines, les types d’enregistrements ou les codes de réponse spécifiés lorsqu’une attaque est détectée.

Contournez le cache pour des domaines ou des types d’enregistrement ou des types de réponse spécifiés à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Dans la page Ajouter un profil de sécurité DNS, développez Contourner le cache et entrez les noms de domaine et/ ou choisissez les types d’enregistrement ou les types de réponse pour lesquels le cache doit être ignoré.
    • Cliquez sur Domaines et saisissez les noms de domaine. Utilisez des virgules pour séparer les entrées.
    • Cliquez sur Types d’enregistrement et choisissez les types d’enregistrement.
    • Cliquez sur Types de réponse et choisissez le type de réponse.
  4. Cliquez sur Soumettre.

Imposer transactions DNS sur TCP

Certaines attaques DNS peuvent être évitées si les transactions sont forcées d’utiliser TCP au lieu d’UDP. Par exemple, lors d’une attaque de bot, le client envoie un flot de requêtes mais ne peut pas gérer les réponses. Si l’utilisation de TCP est appliquée pour ces transactions, alors les bots ne peuvent pas comprendre les réponses et ne peuvent donc pas envoyer de demandes via TCP.

Forcer les domaines ou les types d’enregistrements à fonctionner au niveau TCP à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Dans la page Ajouter un profil de sécurité DNS, développez Imposer les transactions DNS sur TCP et entrez les noms de domaine et/ ou choisissez les types d’enregistrement pour lesquels les transactions DNS doivent être appliquées sur TCP.
    • Cliquez sur Domaines et saisissez les noms de domaine. Utilisez des virgules pour séparer les entrées.
    • Cliquez sur Types d’enregistrements et choisissez les types d’enregistrements.
  4. Cliquez sur Soumettre.

Fournissez les détails de la racine dans la réponse DNS

Dans certaines attaques, l’attaquant envoie un flot de requêtes pour des domaines non liés qui ne sont pas configurés ou mis en cache sur l’appliance Citrix ADC. Si le paramètre DNSRootreFerral est ENABLED, il expose tous les serveurs racine.

L’option Fournir les détails racine dans la réponse DNS demande à l’appliance Citrix ADC de restreindre l’accès aux références racine pour une requête qui n’est pas configurée ou mise en cache. L’appliance envoie une réponse vide.

L’option Fournissez les détails racine dans l’option Réponse DNS peut également atténuer ou bloquer les attaques d’amplification. Lorsque le paramètre DNSRootreFerral est DISABLED, il n’y aura pas de référence racine dans les réponses Citrix ADC et, par conséquent, ils ne sont pas amplifiés.

Activer ou désactiver l’accès au serveur racine à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
    1. Développez Fournissez les détails racine dans la réponse DNS .
    2. Cliquez sur ON ou OFF pour autoriser ou restreindre l’accès au serveur racine.
  4. Cliquez sur Soumettre.
Options de sécurité DNS
January 21, 2021
Contribution de: 
C
January 21, 2021
Contribution de: 
C

Dans cet article