Bundesamt für Sicherheit in der Informationstechnik

B 5.18 DNS-Server

Logo DNS-Server

Beschreibung

In diesem Baustein werden die grundsätzlichen Sicherheitseigenschaften des Domain Name System (DNS) und der hierfür benötigten Server betrachtet. DNS ist ein Netzdienst, um Hostnamen von IT -Systemen in IP -Adressen umzuwandeln. Im üblichen Fall wird zu einem Hostnamen die entsprechende IP-Adresse gesucht (Vorwärtsauflösung). Ist hingegen die IP-Adresse bekannt und der Hostname wird gesucht, wird dies als Rückwärtsauflösung bezeichnet. DNS kann mit einem Telefonbuch verglichen werden, dass Namen nicht in Telefonnummern, sondern in IP-Adressen auflöst. Dies stellt eine Vereinfachung für die Benutzer dar. Diese müssen statt schwer zu merkender Zahlen in Form von IP-Adressen nur den Hostnamen eines Rechners kennen, um eine Verbindung zu ihm aufzubauen. Welche Namen zu welchen IP-Adressen gehören, wird im Domain-Namensraum verwaltet. Dieser ist hierarchisch aufgebaut und wird von DNS-Servern zur Verfügung gestellt. DNS-Server verwalten den Domain-Namensraum im Internet, werden aber auch häufig im internen Netz der INstitution eingesetzt. Auf den Rechnern der Benutzer arbeiten sogenannte Resolver (Koordinatenumrechner), über die Anfragen an DNS-Server gestellt werden und die als Antwort Informationen über den Domain-Namensraum zurückliefern. Die Bezeichnung DNS-Server steht im eigentlichen Sinne für das verwendete Programm, wird jedoch meist auch als Synonym für den Rechner benutzt, auf dem dieses Programm betrieben wird.

Das Internet ist eine öffentliche Umgebung, und auch Informationsverbünde betreiben IT-Systeme, die über das Internet erreichbar sein sollen, beispielsweise einen Webserver oder einen Mailserver. Um eine Internet-Verbindung herstellen zu können, wird DNS benötigt. Hierbei wird von dem Kommunikationspartner eine entsprechende DNS-Anfrage an einen DNS-Server gestellt. Dieser DNS-Server muss daher in diesem Fall aus dem öffentlichen Netz erreichbar sein und stellt damit ein öffentlich zugängliches IT-System dar. Eine sorgfältige Planung und fachgerechte Umsetzung ist für den reibungslosen Betrieb wichtig, denn eine funktionierende Namensauflösung ist für eine Vielzahl von Anwendungen ist eine Grundvoraussetzung. Aus diesem Grund liegt der Fokus des Bausteins auf der Verfügbarkeit und der Integrität von DNS-Servern, sowie auf Problemen, die im Zuge eines DNS-Server-Betriebs auftreten können.

In diesem Baustein werden die für einen DNS-Server spezifischen Gefährdungen und Maßnahmen beschrieben. Der Baustein ist dann anzuwenden, wenn in einem Informationsverbund DNS-Server betrieben werden. Um die Sicherheit von DNS-Servern zu gewährleisten, müssen weitere Bausteine umgesetzt werden.

Gefährdungslage

Für den IT-Grundschutz werden pauschal die folgenden Gefährdungen als typisch im Zusammenhang mit einem DNS-Server angenommen:

Höhere Gewalt

G 1.2Ausfall von IT-Systemen

Organisatorische Mängel

G 2.1Fehlende oder unzureichende Regelungen
G 2.32Unzureichende Leitungskapazitäten
G 2.100Fehler bei der Beantragung und Verwaltung von Internet-Domainnamen
G 2.152Fehlende oder unzureichende Planung des DNS-Einsatzes

Menschliche Fehlhandlungen

G 3.3Nichtbeachtung von Sicherheitsmaßnahmen
G 3.9Fehlerhafte Administration von IT-Systemen
G 3.38Konfigurations- und Bedienungsfehler
G 3.103Fehlerhafte Domain-Informationen
G 3.104Fehlerhafte Konfiguration eines DNS-Servers

Technisches Versagen

G 4.22Software-Schwachstellen oder -Fehler

Vorsätzliche Handlungen

G 5.78DNS-Spoofing
G 5.151DNS-Flooding - Denial-of-Service
G 5.152DNS-Hijacking
G 5.153DNS-Amplification Angriff
G 5.154DNS Information Leakage
G 5.155Ausnutzen dynamischer DNS-Updates

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen grundsätzlich zu diesem Baustein weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz.

Dies sind insbesondere der Baustein B 3.101 Allgemeiner Server und abhängig vom eingesetzten Betriebssystem die Bausteine B 3.102 Server unter Unix , B 3.106 Server unter Windows 2000 oder B 3.108 Windows Server 2003 .

Aufgrund dessen, dass zumindest ein Teil der betriebenen DNS-Server eines Informationsverbundes mit dem Internet kommuniziert, sind die Bausteine B 1.8 Behandlung von Sicherheitsvorfällen und Baustein B 3.301 Sicherheitsgateway (Firewall) zu beachten, um eine sichere Anbindung zu gewährleisten.

DNS-Server verwalten alle Namensinformationen eines Informationsverbunds und beinhalten somit Informationen über die gesamte Netzinfrastruktur. Aus diesem Grund sollte ein DNS-Server in einem Serverraum oder zumindest in einem abgesicherten Serverschrank aufgestellt werden, siehe dazu die korrespondierenden Bausteine B 2.4 Serverraum und B 2.7 Schutzschränke . Im Falle von Outsourcing ist zusätzlich Baustein B 1.11 Outsourcing zu beachten.

In diesem Baustein werden die für einen DNS-Server spezifischen Gefährdungen und Maßnahmen beschrieben.

Planung und Konzeption

Bevor mit der Auswahl der Software und der Planung der Infrastruktur begonnen werden kann, sollte geprüft werden, ob der gewünschte Domainname noch verfügbar ist. Da bei einer Registrierung die zuständigen DNS-Server angegeben werden müssen, sollte die Maßnahme M 2.298 Verwaltung von Internet-Domainnamen berücksichtigt werden. Ist der Einsatz von DNSSEC geplant, ist es von grundlegender Bedeutung, ein Konzept zur Verwaltung der kryptografischen Schlüsseln zu erstellen, wie es in M 2.46 Geeignetes Schlüsselmanagement beschrieben wird. Bei der Planung wird festgelegt, welche Domain-Informationen einen erhöhten Schutzbedarf haben. Im Weiteren muss entschieden werden, wie hoch die Leistungskapazität eines DNS-Servers sein muss. Dies betrifft einerseits das IT-System selbst, vor allem den Hauptspeicher, und andererseits die Bandbreite der Netzanbindung. Es sollte in diesem Zuge auch geplant werden, wie die DNS-Server in der Netzinfrastruktur des Informationsverbunds integriert werden (M 2.451 Planung des DNS-Einsatzes ) und die Zugriffsrechte (M 2.8 Vergabe von Zugriffsrechten ) vergeben werden. Das Ergebnis der planerischen Tätigkeiten muss schriftlich festgehalten werden.

Beschaffung

Es gibt unterschiedliche Softwareprodukte im Bereich der DNS-Server. Um eine geeignete Wahl zu treffen, müssen die potenziellen Produkte auf die Erfüllung benötigter Funktionalitäten und Sicherheit laut Planungsdokument analysiert werden (M 2.452 Auswahl eines geeigneten DNS-Server-Produktes ).

Umsetzung

Abhängig vom gewählten DNS-Server müssen die Administratoren geschult werden (M 3.73 Schulung der Administratoren eines DNS-Servers ). Durch die Schulung wird sicher gestellt, dass die zuständigen Administratoren mit den einzelnen Konfigurationsmöglichkeiten vertraut sind. Auf Basis der Schulung und einer ordentlichen Planung sollte eine sichere Konfiguration erarbeitet werden, die die Verfügbarkeit von DNS und die Integrität der gelieferten Informationen sicherstellt: M 4.350 Sichere Grundkonfiguration eines DNS-Servers , M 4.198 Installation einer Applikation in einem chroot Käfig , M 4.351 Absicherung von Zonentransfers , M 4.352 Absicherung von dynamischen DNS-Updates .

Betrieb

Während des laufenden Betriebs ist es wichtig, sich über aktuelle Sicherheitslücken zu informieren, um eventuell vorhandene Softwareaktualisierungen zu installieren oder anderweitige Sicherheitsvorkehrungen einzuführen, nachzulesen im Baustein B 1.14 Patch- und Änderungsmanagement . Im Weiteren sollte durch Paketfilterregeln die Kommunikation des DNS-Servers mit anderen DNS-Servern und Clients auf ein Minimum beschränkt werden (M 4.98 Kommunikation durch Paketfilter auf Minimum beschränken ). Um einen reibungslosen Betrieb zu gewährleisten und eventuelle Störungen oder Anomalien festzustellen, sollte ein DNS-Server laufend überwacht werden (siehe M 4.354 Überwachung eines DNS-Servers ).

Manuelle Änderungen an der Konfiguration bzw. an den DNS Informationen sollten nur nach vorheriger Sicherung der Domain-Informationen durchgeführt werden, um diese im Fehlerfall zurückspielen zu können, siehe M 4.78 Sorgfältige Durchführung von Konfigurationsänderungen .

Aussonderung

Werden DNS-Server außer Betrieb gesetzt, sollten diese geregelt entsorgt werden (siehe dazu M 2.453 Aussonderung von DNS-Servern ).

Notfallvorsorge

Im Rahmen der Notfallvorsorge sollten Notfallpläne für die relevanten Gefährdungslagen erstellt werden (M 6.139 Erstellen eines Notfallplans für DNS-Server ). Da DNS eine grundlegende Funktionalität für die Kommunikation über Netze zur Verfügung stellt, sollte überlegt werden, geeignete Redundanzsysteme bereit zu halten.

Planung und Konzeption

M 2.298(B)Verwaltung von Internet-Domainnamen
M 2.450(W)Einführung in DNS-Grundbegriffe
M 2.451(A)Planung des DNS-Einsatzes

Beschaffung

M 2.176(Z)Geeignete Auswahl eines Internet Service Providers
M 2.452(C)Auswahl eines geeigneten DNS-Server-Produktes

Umsetzung

M 2.32(Z)Einrichtung einer eingeschränkten Benutzerumgebung
M 2.46(A)Geeignetes Schlüsselmanagement
M 3.73(A)Schulung der Administratoren eines DNS-Servers
M 4.95(A)Minimales Betriebssystem
M 4.97(Z)Ein Dienst pro Server
M 4.98(A)Kommunikation durch Paketfilter auf Minimum beschränken
M 4.198(Z)Installation einer Applikation in einem chroot Käfig
M 4.350(A)Sichere Grundkonfiguration eines DNS-Servers
M 4.351(B)Absicherung von Zonentransfers
M 4.352(B)Absicherung von dynamischen DNS-Updates
M 4.353(Z)Einsatz von DNSSEC

Betrieb

M 2.8(A)Vergabe von Zugriffsrechten
M 2.35(B)Informationsbeschaffung über Sicherheitslücken des Systems
M 4.78(A)Sorgfältige Durchführung von Konfigurationsänderungen
M 4.354(B)Überwachung eines DNS-Servers
M 5.118(Z)Integration eines DNS-Servers in ein Sicherheitsgateway

Aussonderung

M 2.453(C)Aussonderung von DNS-Servern

Notfallvorsorge

M 6.139(A)Erstellen eines Notfallplans für DNS-Server

Stand: 12. EL Stand 2011

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK