Информационная безопасность. Макаренко С.И. - 223 стр.

сервер и ложные DNS-ответы будут направляться атакующим от имени
корневого DNS-сервера на атакуемый DNS-сервер.
      При этом важно учитывать следующую особенность работы DNS-
сервера. Для ускорения работы каждый DNS-сервер кэширует в области
памяти свою таблицу соответствия имен и IP-адресов хостов. В том числе в
кэш заносится динамически изменяемая информация об именах и IP-адресах
хостов, найденных в процессе функционирования DNS-сервера, а именно,
если DNS-сервер, получив запрос, не находит у себя в кэш-таблице
соответствующей записи, он пересылает ответ на следующий сервер и,
получив ответ, заносит найденные сведения в кэш-таблицу в память. Таким
образом, при получении следующего запроса DNS-серверу уже не требуется
вести удаленный поиск, так как необходимые сведения уже находятся у него
в кэш-таблице.
      Из анализа только что подробно описанной схемы удаленного DNS-
поиска становится очевидно, что в том случае, если в ответ на запрос от
DNS-сервера атакующий направит ложный DNS-ответ (или в случае
«шторма» ложных ответов будет вести их постоянную передачу), то в кэш-
таблице сервера появится соответствующая запись с ложными сведениями и
в дальнейшем все хосты, обратившиеся к данному DNS-серверу, будут
дезинформированы, и при обращении к хосту, маршрут к которому
атакующий решил изменить, связь с ним будет осуществляться через хост
атакующего по схеме «Ложный объект РВС». И, что хуже всего, с течением
времени эта ложная информация, попавшая в кэш DNS-сервера, будет
распространяться на соседние DNS-серверы высших уровней, а,
следовательно, все больше хостов в Internet будут дезинформированы и
атакованы!
      В том случае, если атакующий не может перехватить DNS-запрос от
DNS-сервера, то для реализации атаки ему необходим «шторм» ложных
DNS-ответов, направленный на DNS-сервер. При этом возникает следующая
проблема, отличная от проблемы подбора портов в случае атаки,
направленной на хост. Как уже отмечалось ранее, DNS-сервер, посылая
запрос на другой DNS-сервер, идентифицирует этот запрос двухбайтовым
значением (ID). Это значение увеличивается на единицу с каждым
передаваемым запросом. Узнать атакующему это текущее значение
идентификатора DNS-запроса не представляется возможным. Поэтому
предложить что-либо, кроме перебора 216 возможных значений ID,
достаточно сложно. Зато исчезает проблема перебора портов, так как все
DNS-запросы передаются DNS-сервером на 53 порт.
      Следующая проблема, являющаяся условием осуществления этой
удаленной атаки на DNS-сервер при направленном «шторме» ложных DNS-
ответов, состоит в том, что атака будет иметь успех только в случае, если
DNS-сервер пошлет запрос на поиск имени, которое содержится в ложном
DNS-ответе. DNS-сервер посылает этот столь необходимый и желанный для
атакующего запрос в том и только том случае, когда на него приходит DNS-

                                   223