7가지 최고의 DNS 보안 모범 사례
게시 됨: 2022-11-24DNS 보안을 통해 사이트와의 보안 연결을 설정할 수 있습니다. DNS 서버는 사용자가 입력한 URL과 시스템이 쿼리에 응답하는 데 필요한 IP 주소 사이의 간격을 메워줍니다. 해당 URL을 번역하면 사이트에 액세스하고 쿼리 응답을 받을 수 있습니다. DNS 프로토콜은 인터넷이 존재하는 한 오랫동안 존재해 왔으며 온라인 세계에 대한 연결의 중요한 부분이 되었습니다.
평균적으로 회사는 연간 7건의 DNS 공격을 받고 있습니다. 이러한 수준의 위협은 적절하게 해결되지 않으면 비즈니스 인프라를 손상시킬 수 있습니다. 따라서 조직에서는 효율적이고 포괄적인 보안 프로토콜을 구현하는 것이 중요합니다. 모범 보안 사례를 따르는 것은 이제 DNS 보안에 대한 비즈니스 요구 사항입니다.
DNS 보안 모범 사례
DNS 프로토콜에 대한 의존도가 높기 때문에 일회성 보안 설정으로는 보호를 보장하기에 충분하지 않습니다. DNS 보안 및 DNS 보안이 직면하는 가장 일반적인 위협에 대해 자세히 알아볼 수 있습니다. 즉, 최고의 보안 사례에는 가능한 가장 효과적인 DNS 보안을 위해 기업이 채택해야 하는 다양한 접근 방식이 포함됩니다.
- DNS 로그 유지
DNS 활동을 주시하는 가장 좋은 방법 중 하나는 로그를 유지하는 것입니다. 활동 모니터링은 서버에서 시도된 악의적인 공격에 대한 귀중한 통찰력을 제공할 수 있습니다. 또한 서버 또는 쿼리 경로를 따라 취약점을 식별하는 데 사용할 수 있으며 악용되기 전에 해결할 수 있습니다.
적시에 공격 시도를 식별하려면 DNS 로깅도 필수적입니다. 예를 들어 DDoS(Distributed Denial of Service) 공격을 식별할 수 있으므로 지속적인 모니터링을 통해 피해를 입히기 전에 처리할 수 있습니다. 시스템 관리자는 더 빠른 성능을 위해 로깅을 비활성화하고 싶은 유혹을 느낄 수 있지만 이렇게 하면 시스템이 취약해집니다.
- DNS 필터링
DNS 필터링은 미리 결정된 필터 기준에 의존하기 때문에 100% 안전한 솔루션이 아닙니다. 그러나 처음부터 알려진 악성 사이트에 대한 사용자 액세스를 방지하는 데는 매우 효과적입니다. 필터 목록에 도메인 이름을 추가하여 액세스를 차단합니다. 필터는 잠재적인 악성 사이트와의 통신이 절대 설정되지 않도록 합니다.
DNS 필터링은 새로운 개념이 아니며, 많은 회사에서 작업자 생산성을 위해 다양한 소셜 사이트에 대한 액세스를 차단하는 데 사용합니다. 오늘날 최신 DNS 방화벽 솔루션에는 자동화된 필터링 설정도 함께 제공됩니다. 필터링은 위협 노출을 줄이고 악의적인 사이트를 방문하는 데 필요한 후속 정리 작업을 줄입니다.
- 데이터 검증 사용
쿼리의 유효성과 해당 쿼리에 대한 응답을 보장하는 것은 다수의 DNS 공격을 방지하는 효과적인 기술입니다. 많은 공격이 스푸핑된 IP 주소를 사용하여 사용자를 악성 사이트로 유도하거나 가짜 요청을 생성하여 서버에 과부하를 줍니다. DNSSEC(Domain Name System Security Extensions)를 사용하여 둘 다의 유효성을 확인하면 이러한 위험이 줄어듭니다.
DNSSEC는 모든 수준의 쿼리 처리에 디지털 서명을 남깁니다. 이렇게 하면 쿼리와 응답으로 수신된 데이터가 유효한지 확인하는 신뢰 체인이 생성됩니다. 서버는 복제할 수 없는 이 고유한 디지털 서명을 확인하고 각 단계에서 요청을 처리하기 전에 유효성을 확인합니다.
- DNS 서버 업데이트
DNS 서버 소프트웨어는 획득할 수 있는 지속적이고 최신의 보호가 필요합니다. DNS 공격이 증가하고 DNS 시스템이 필수적으로 요구됨에 따라 서버에 새로운 형태의 악의적인 공격에 대한 최신 코드 및 방어 기능을 갖추는 것이 필수적입니다.
DNS 프로토콜은 독립적으로 작동하므로 매우 탄력적입니다. 또한 공격을 받거나 업데이트가 필요할 때 알림을 보내지 않습니다. 모든 소프트웨어가 최신 정보로 최신 상태인지 확인하는 엄격한 안전 프로토콜을 구현하는 것은 시스템 관리자의 임무입니다.
- 신뢰할 수 있는 서버와 재귀 서버 분리
각 서버가 쿼리를 수행하는 방식이 다르기 때문에 권한 있는 서버와 재귀 서버를 분리하는 것이 필수적입니다. 재귀적 DNS 조회는 쿼리에 해당하는 IP 주소를 찾는 추가 서버를 스캔하기 위해 로컬 데이터베이스를 넘어 더 넓은 네트워크를 캐스팅합니다. 신뢰할 수 있는 DNS 조회는 로컬 데이터베이스로 제한됩니다.
DNS 공격은 크게 두 가지 유형으로 나뉩니다. 예를 들어 DDoS 공격은 신뢰할 수 있는 서버를 대상으로 하는 반면 캐시 포이즈닝 공격은 캐시된 재귀 서버를 대상으로 합니다. 이러한 별도의 제한 서버 취약성을 유지합니다. 그렇지 않으면 한 번의 공격으로 두 서버가 모두 무력화될 수 있습니다.
- 응답 제한 구현
DNS 응답 제한은 서버 응답을 단일 쿼리로 제한하도록 설계되었습니다. 응답 속도 제한은 단일 IP 주소에서 오는 쿼리에 대한 응답으로 서버가 생성해야 하는 응답 수에 대한 임계값을 설정합니다. 서버는 응답을 계산하고 임계값에 도달하면 응답을 제한합니다.
이는 과도한 응답 생성을 제한하기 위한 것입니다. 반사 공격과 같은 많은 유형의 DDoS 공격은 제한이 없다는 점을 이용하여 시스템에 부담을 주는 엄청난 양의 트래픽을 생성합니다. 응답 제한은 이러한 공격이 발생하지 않도록 차단합니다.
- 액세스 제어 목록 확인
액세스 제어 목록은 기본 DNS 서버에 액세스할 권한이 있는 시스템을 결정합니다. 이 목록은 IT 관리자 또는 기타 특별히 승인된 시스템으로 제한되어야 합니다. 호스트가 DNS 서버에 액세스할 수 있도록 제어 목록을 유지하면 확인된 당사자 및 시스템에 합법적인 액세스만 부여됩니다.
액세스 제어 목록은 또한 영역 전송에 대해 인증된 서버를 결정합니다. 영역 전송을 통해 인증된 시스템은 여러 서버에 걸쳐 DNS 데이터베이스를 복제할 수 있습니다. 이러한 유형의 제한은 영역 전송 요청을 생성하기 위해 보조 DNS 서버를 사용하는 악의적인 행위를 방지합니다.
모범 사례 구현
DNS 보안은 전자 상거래 회사, 교육 블로그 또는 SaaS 스타트업에 관계없이 공격 수가 증가함에 따라 사이버 세계에서 중요하고 증가하는 관심사입니다. . 잘 개발된 보안 프로토콜은 DNS 활동을 위한 경계 보안망을 만들 수 있습니다. 어떤 하나의 좋은 프로토콜보다 모든 위협에 대해 일관된 보안을 보장하기 위해 모범 사례 조합을 구현하는 것이 가장 좋습니다.