[stalk:00388] Re: port:10008

[Seiichi Nakashima <nakasei@xxxxxxxxxxxx>]

中島です。

Bindの安全対策としてTCP/53をフィルタリングすることは意味があると認識しています。

< 参照先 >
http://www.sans.org/y2k/lion_protection.htm

< 一部抜粋した内容>
Filtering TCP/53
 
TCP/53 has a number of legitimate uses that you may want to preserve. These include: 
Zone transfers 
Data requests larger than 484 bytes 
Some load balancing packages 

一般にDNSへのアクセスは、UDP/53 と TCP/53 です。
しかし、TCP/53を利用するのは上記説明にある３つの場合です。
(1) ゾーン転送
(2) 484バイト以上のリクエスト
(3) ロードバランシングパケット

特別なサイトでない場合は、SlaveDNSに対するZone転送だけがTCP/53を利用すると
考えて十分であり、SlaveDNSのIP-address以外からのTCP/53をフィルタリングすると
効果はあると思います。UDPパケットだけで遠隔からクラックを試みることは
現実的には難しいと思っているからです。

bind-8.2.3に対するひとつの安全対策として検討する価値はあると思います。

----
Seiichi Nakashima  nakasei@xxxxxxxxxxxx
--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　　　　　　　　　　ふとした疑問ありますか？　　　　　　　　　　　
　　 http://www.infoseek.co.jp/GHome?pg=gn_top.html&svx=971122