原创 虹科分享 | 作为域名系统的SPoF

2023-2-9 17:36 348 1 1 分类: 通信 文集: 网络流量和安全监控

“SPoF”或“单点故障”背后的思想是,如果系统的一部分发生故障,那么整个系统也会发生故障。

这是不可取的。在IT和安全领域,如果一个组件或子组件的故障会导致系统或应用程序严重中断或降级,那么我们通常认为设计有缺陷。

这就把我们带到了SPoF,即域名系统(域名系统)。域名系统是IP地址和人类可读的网站名称和域名的电话簿。例如,在撰写本文时,www.facebook.com解析为IP地址31.13.71.36。要为网站提供服务,计算机和路由器需要达到IP地址,但人类不能(也不应该)在每次想要在网上做任何事情时记住一长串数字和圆点。取而代之的是,我们普通人输入一个由单词组成的域名,比如facebook.com,然后DNS服务器将其转换为IP地址。虽然域名系统是互联网工作原理的基本和关键要素,但它也是许多事件调查和设计失败、测试不足或文档不足的根本原因。

为了说明我的观点,即DNS一直是并将继续是SPoF,我引用了发生在2021年10月4日的一件令人难忘的事件。

在那个周一,全球估计有49亿互联网用户中,有相当大一部分人受到了一个变化的影响,而这一变化对Facebook的工程师来说并不太好,因为他们正在为他们的平台基础设施引入一种配置。具有讽刺意味的是,这一变化可能是为了给他们的DNS基础设施和社交媒体平台带来额外程度的弹性。

事情是这样的:Facebook的BGP路由规则和表中引入了一个错误。(BGP,即边界网关控制,是帮助将互联网上的数据从一台笔记本电脑或工作站路由到其他笔记本电脑、工作站和服务器的协议。)。结果,所有Facebook在一眨眼的时间内就不复存在了。错误的配置也让WhatsApp和Instagram随之而来,因为这些服务和应用程序也依赖于相同的核心Facebook DNS基础设施。

因此,当值团队中的第一批响应人员不知道什么起作用,什么不起作用。

这次中断尤其令人震惊的是它的持续时间。通常情况下,变更控制文档会包含在更改未按预期进行的情况下的回滚计划。然而,出于善意的(但事后看来是有缺陷的)设计和安全考虑,出现了一些复杂情况。首先,Facebook所有的网络管理工具和应用程序都突然不可用,无法访问,因此当值团队中的第一批响应人员完全不知道哪些功能正常,哪些功能不正常;一切似乎都不起作用。即使您已经记住了为了逆转配置更改而需要到达的系统的IP地址,由于配置更改的性质,也没有数据包可以到达这些系统。令人感到滑稽的是,据报道,有人不得不开车到一个数据中心附近的家得宝(Home Depot)购买角磨机,以便打开数据中心的门。为什么?因为为了加固和保护门后的系统,该公司没有使用物理钥匙开门。您现在可能已经猜到了,使用钥匙卡打开门的徽章阅读器依赖于DNS。因为不是所有数据中心附近的工程师都了解BGP配置或有权限访问服务器,这导致了长时间的中断。所以那天,社交媒体用户、广告商和有影响力的人被迫暂停大约6个小时,在Facebook、WhatsApp和Instagram上推广他们的各种产品。

这不是第一次DNS宕机导致宕机,当然也不会是最后一次。即使是最谨慎和勤奋的网络架构师和工程师有时也会遗漏一些东西,但他们应该注意并从这些和其他DNS故障示例中学习。您的组织可能已经创建了一个健壮且容错的DNS设计,其中多个服务器运行在地理上分散的离散网络上。但是,如果您没有将BGP作为一个故障点,那么您仍然面临中断(或由BGP劫持攻击)的风险。

那么,您可以做些什么来保护您的企业免受DNS故障的影响,无论是引人注目的故障还是普通的故障?我建议采取以下步骤:

解决有关SPF记录、DMARC和DKIM的正确DNS配置的“简单问题”。在SecurityScorecard的评级平台上,确实有数百万个可利用的域名和DNS服务器。(我们每天都会扫描所有的IPv4)。观察到的错误配置很容易修复,我们的问题报告可以免费下载,以供贵公司的数字足迹使用。

请务必检查您的核心服务提供商和第三方供应商的DNS运行状况和安全状况。他们对SPoF(即域名系统)的不重视也会扰乱您的业务可用性。

考虑引入DNSSEC,它使用基于公钥加密的数字签名来加强对DNS的身份验证。这将使坏人更难劫持您的流量和冒充您的服务,就像最近发生的一起涉及加密货币盗窃的事件一样。

确保您至少有两个不同的DNS提供商,它们由不同的自治系统编号(ASN)提供服务。您可以使用这个页面查找任何IP地址的ASN,这些页面来自Team Cymru:https://asn.cymru.com/。

有许多同样的例子和故事可以告诉我们,罪魁祸首是域名系统或域名系统安全。对于像我这样多年来一直构建和管理互联网服务和网络的人来说,“永远都是域名系统”是一句口头禅。

但我希望你能考虑到以上几点,而且不会是域名系统。

作者: 虹科网络可视化, 来源:面包板社区

链接: https://mbb.eet-china.com/blog/uid-me-3989660.html

版权声明:本文为博主原创,未经本人允许,禁止转载!

给作者打赏,鼓励TA抓紧创作!

赞赏支持
点赞 1
赞赏0

文章评论0条评论)

登录后参与讨论
相关推荐阅读
虹科网络可视化 2023-02-20 17:36
虹科分享 | 网络流量监控 | 你的数据能告诉你什么:解读网络可见性的4种数据类型
要了解网络性能问题的原因,可见性是关键。而这四种数据类型(流、数据包、SNMP和API)都在增强网络可见性方面发挥着重要作用。   流 ...
虹科网络可视化 2023-02-10 17:11
技术分享|终端安全防护|ChatGPT会创造出超级恶意软件吗?
ChatGPT是一个强大的人工智能聊天机器人,它使用大量的数据收集和自然语言处理与用户“交谈”,感觉像是和正常的人类对话。它的易用性和相对较高的准确性让用户可以利用它做任何事情,从解决复杂的数学问题,...
虹科网络可视化 2023-02-09 16:23
虹科分享 | 顶级企业如何实现备份和恢复
企业和组织有很多需要保护的重要数据。如果他们丢失了数据,他们的日常操作将停止。您可以尝试以各种方式保护您的系统,但是没有办法使您的系统变得万无一失。 操作系统或硬件可能会崩溃,任何员工都可能犯错误,...
虹科网络可视化 2023-02-09 15:51
虹科分享|对网络进行有效监控的五个最佳实践
随着向远程工作的转变继续,网络监控变得越来越复杂,云迁移也越来越普遍。当今的网络从核心扩展到边缘再到云,这使得网络可见性对于确保性能和快速解决问题至关重要。但根据EMA的最新研究,只有27%的企业认为...
虹科网络可视化 2023-02-09 15:12
虹科分享|在ntopng中使用多用户模式
并非所有 ntop 用户都知道 ntopng 本机实现了多用户支持。也就是说,您可以使用ntopng收集和分析来自多个用户的流量,并向每个用户显示自己的流量,隐藏其余所有流量。 您需要做的就是非常简...
我要评论
0
1
1
2
3
4
5
6
7
8
9
0
关闭 热点推荐上一条 /4 下一条