SOHU+DNS系统安全简介-张蜀光先生.ppt

SOHU DNS系统安全简介 张蜀光 搜狐网络运营部 2010.08 agenda SOHU DNS系统架构简介 SOHU DNS安全措施 问题和挑战 SOHU域名 Sohu-dns管理和运维工作由搜狐网络运营部承担，负责域名技术牵头工作 域名注册、ICP备案等工作由法律部承担 域名工作纳入公司整体信息安全范畴 搜狐公司目前拥有有包括北京奥运官网在内的数百个域名： S / / S / C G 17173.com F I S B/ SOHU DNS系统架构简介 公开授权DNS: ns*/和x/y/ 基于源IP判定的静态GSLB 采用iptables DNAT方式，有多个bind实例在不同端口上运行 SOHU DNS系统架构简介 内部DNS: in-ns*. 为nginx/squid等web代理/缓存软件解析域名 采用BIND9的VIEW功能 GSLB of SOHU-CDN cache DNS 访问互联网服务的DNS服务器，包括公司办公网环境和IDC服务器对外请求服务器群 Office、IDC以及个别业务 DDNS RDNS 内部管理网制度需求 动态更新策略 邮件服务的RDNS需求 Pub DNS 公开 高 Ine DNS 业务线使用 高 Cache DNS 产品及桌面使用 中 DDNS 管理网注册 低 RDNS 反垃圾邮件以及规范管理 中 SOHU-DNS 安全策略 异地备份 版本控制 安全配置 管理安全 制度安全 安全形势 搜狐主要使用的DNS服务器为BIND，95%以上的dns服务器使用 曾经出现过主要DNS安全问题有： DNS Spoffing ? local dns DoS/DDoS ? Authority DNS Buffer Overflow ? all DNS 业界重大域名安全事件给我们的警示 百度域名服务中断事件、twitter域名故障、新网域名攻击事件 域名劫持风险 异地备份 拥有四台授权DNS，分别位于北京联通/北京电信/广州电信，配置文件采用多点备份的方法 加快南方用户解析速度 区域性灾难时提高冗余度，确保DNS系统安全运行 计划启用中国教育网DNS和中国移动DNS 每个IDC内均有一台以上的内部DNS 防止IDC间互联出现问题时影响外部用户访问 防止域名单点 版本控制 统一新增DNS的软件版本 持续关注BIND相关安全公告 对可能出现的风险进行安全评估，必要时对各DNS服务器软件进行升级 SOHU网络安全组对DNS安全进行持续关注 安全配置 部分DNS位于负载均衡设备后，具有一定的防DDoS攻击能力 利用iptables和搜狐IDC边界策略仅开放特定端口对外连接 Zone-transfer严格控制 边界流量分析预警机制 安全配置 用途明确 授权DNS仅用做解析SOHU域名使用，不允许递归查询； CDN内部DNS仅供内部业务产品使用，不提供非产品外域名请求； cache DNS仅允许来自内部的递归查询，特殊业务以独立cacheDNS方式运行； 彻底隔离防止因其它服务被攻击影响DNS 隐藏bind版本号，防止信息泄露 增加对特定版本的攻击成本 业务需求明确才能开HINFO和TXT，以及反向域名 隐藏master，由slave向外提供服务 降低全部DNS服务器被攻击的影响面 非特权用户运行BIND或chroot运行BIND DNS日志状态监控和网络流量监控 对特定请求进行特殊处理 管理安全 Smbind 管理 对BIND zone文件进行管理 Web化管理，杜绝因文件格式错误带来的风险 测试功能，确保修改正确和生效 GSLB策略部署 具有快捷的回滚机制，发生问题可以及时回滚 Dnsapp系统 对域名申请进行审核和跟踪 制度安全 DNS系统管理员与DNS管理员分开 前者负责DNS系统的配置与部署；后者负责DNS记录与GSLB策略的更新 降低前后台之间的耦合度 DNS管理流程 Dnsapp内部工作流系统 域名的申请可追查到人 重要域名修改后须由另一名DNS管理员复检 others 全局的网络安全策略 网络边界 降低前后台之间的耦合度 DNS管理流程 Dnsapp内部工作流系统 域名的申请可追查到人 重要域名修改后须由另一名DNS管理员复检 问题和挑战 域名安全风险 基于用户LDNS的ip地址来定位GSLB，并增加数据校正 （whois,ASN,czip等） DNSSEC跟进和支持 对IPv6域名支持 , THANK YOU! L * L *