já nechci bejt zase za toho prudiče ale tohle vlákno pěkně ukazuje jakej máme všichni v síti bordel. Žádný ošetření podobných věcí atd.. Jak můžete mít z venku otevřený něco jako DNS resolvery?
tohle je treba u nas dano jednak historicky a jednak nejakou filozofii k tomu, co povazujeme za pripojeni k Internetu. Zakaznik ma verejnou IP adresu a teoreticky by mel mit moznost provozovat si sam cokoliv bez omezeni. Ano je to svym zpusobem z dnesniho pohledu naivni a ted uz bych nektere tyhle veci delal jinak. Ale pokud mas historicky defaultne neco povoleno tak to predelat do defaultne zakazano neni bezbolestne - problem zjistit , kdo si uz (dobre nastaveny) vlastni DNS server rozebehl apod. Takze radsi vymyslim zpusob jak detekovat zlobivce (analyza provozu ze zaznamu, ktery stejne vsichni povinne ukladame. Aspon se k necemu hodi)
Navic, co vsechno mam defaultne zakazat? Delat stavovy firewall na vsechny zakazniky? Dekuji pekne. Zatim se stale snazime se poskytovat pripojeni k Internetu a ne jeho nahrazku. A jsem rad, ze jsem se na gatewayich zbavil connection trackingu a usetril peknych par procent vykonu na routing atd.
Vcera to byl SMTP provoz, dneska DNS a zitra co?
BTW: Blokujes NTP (123) zmerem k zakaznikum? Ten je pro utocnika jeste vyhodnejsi k amplification utoku nez DNSko. Na druhou stranu NTP serveru zase sezene (snad) podstatne mene nez DNS serveru
A pri analyze jsem zjistil, ze mame klienty, jejichz resolver posila DNS request packety z portu 53 - takze pausalnim filtrem bych je odstrihl taky. Nemam potrebu nekomu vysvetlovat, ze ta krabicka, co si koupil pred 5ti lety a celou dobu s ni byl spokojenej je nyni na prd a ma si koupit novou...
takhle právě pěkně vznikaji tyhle průsery. Ještě se vsadim že nemáte blokovaný spoofingnutý IPčka.
tohle taky nechamu, ze si to spousta ISP nenastavi.
Poslat jim 'par' packetu se SRC z jejich rozsahu a oni si pak pri hledani problemu (pokud to zvladnou) nastavi treba i ten odchozi antispoofer filter :-)
