"."というDNSクエリが大量に来ている

dns

DoS

昨日くらいからいくつかのサーバの/var/log/messagesが下記のようなログで埋め尽くされるようになってしまいました。

Jan 21 01:21:13 silesia named[23995]: client 66.230.160.1#24898: view global: query (cache) './NS/IN' denied
Jan 21 01:21:13 silesia named[23995]: client 66.230.128.15#34443: view global: query (cache) './NS/IN' denied
Jan 21 01:21:15 silesia named[23995]: client 66.230.160.1#14023: view global: query (cache) './NS/IN' denied
Jan 21 01:21:15 silesia named[23995]: client 66.230.160.1#24622: view global: query (cache) './NS/IN' denied
Jan 21 01:21:15 silesia named[23995]: client 66.230.128.15#59236: view global: query (cache) './NS/IN' denied

こういうのは何かの攻撃の前触れだろうということで調べてみると、SANSに以下のような記事が載っていました。なんらかのDoS攻撃のようです。

DNS queries for "."

Several folks are reporting odd queries hitting their DNS servers at a steady rate of about two per second. The queries invariably ask for the name server of the domain "." (NS query for a single dot). Since "." is a query for the root name servers, it has a very short query packet but a pretty long answer. Our current theory therefore is that this is a denial of service (DoS) attack in progress, where the DNS servers are used as "amplifiers" and unwittingly flood the (spoofed) source by providing a long answer to a system which never asked.

とりあえずサーバが再帰的問い合わせをしていなければ問題ないようです。僕の管理下のサーバは外部からの再帰問い合わせに答えないようには設定してあるのですが、念のためにSANSで公開されているDNS Testで"."というクエリにサーバが応答しないか調べてみました。

サーバに問題がなければ、下記のような結果が出力されます。

SANS Internet Storm Center; Cooperative Network Security Community - Internet SecurityDNS Test - isc

This page will test a DNS server to make sure that it does not respond to the standard NS requests for the root zone. It will run "dig . NS @yournameserver".

To prevent abuse of this page. You are limited to 10 queries, after which you have to wait an hour for any additional queries. We also setup a very simple "math captcha".

Good. your name server refused the query

Testing SILESIA.CLES.NET (210.188.204.98)

/usr/bin/dig . NS @SILESIA.CLES.NET

; <<>> DiG 9.2.4 <<>> . NS @SILESIA.CLES.NET
; (1 server found)
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 50366
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;.				IN	NS

;; Query time: 192 msec
;; SERVER: 210.188.204.98#53(210.188.204.98)
;; WHEN: Tue Jan 20 16:20:27 2009
;; MSG SIZE  rcvd: 17

† 確認しているIPアドレスの一覧

DoSの対象となっていると思われるホストはこんな感じです。
# 左端の数字はサーバのログの記録数です。

   Count  IP Address
193.227.241.60
88.191.64.64
193.227.240.38
91.199.112.18
209.123.8.64
66.115.128.30
69.31.52.214
209.123.8.99
195.234.42.1
193.227.240.37
216.240.131.173
74.86.34.144
216.201.83.2
216.201.82.19
63.217.28.226
69.50.142.110
69.50.137.171
69.50.137.175
66.230.128.15
66.230.160.1
69.50.129.81
76.9.16.171
76.9.31.42
 114301 69.50.142.11

† iptablesでフィルタしてみる

bindでDNS応答を防ぐ方法としてはnamed.confのoptions中のblackholeに指定することもできますが、面倒なのでiptablesで防いでしまうことにします。

iptables -A INPUT -p udp --dport 53 -j DROP -s 193.227.241.60

という感じで、IPアドレスを列挙しておけばOKです。

by hsur at 01:45 [4年前][3年前][2年前][1年前][1年後][2年後][3年後][4年後][5年後] |

こんな記事もあります「DNS NS query」

・福岡銀がデマの投稿者への刑事告訴を検討中
・GitHub が全ての公開リポジトリへのシークレットスキャンを有効に
・世界サーバ投げ選手権 (WSTC) が開催されるらしい
・FIGlet で AA (アスキーアート) を出力
・Celestica Seastone DX010 という 100GbE スイッチを手にいれた
・Google が AI によるファイル判別ツールをリリース
・Windows Update の日 ( 2024 年 2 月 )
・和歌山産の不知火
・Windows にも sudo が導入される
・新型コロナの急性脳症は重症化しやすい可能性がある？

トラックバックについて

Trackback URL:

お気軽にどうぞ。トラックバック前にポリシーをお読みください。[policy]

このエントリへのTrackbackにはこのURLが必要です→https://blog.cles.jp/item/2891

Trackbacks

このエントリにトラックバックはありません

Comments

愛のあるツッコミをお気軽にどうぞ。[policy]
古いエントリについてはコメント制御しているため、即時に反映されないことがあります。

コメントはありません

Comments Form

コメントは承認後の表示となります。
OpenIDでログインすると、即時に公開されます。

OpenID を使ってログインすることができます。

« 日本橋江戸屋 :: nkfがバージョンアップ »

サイト内検索

検索ワードランキング

へぇが多いエントリ

閲覧数が多いエントリ

1 . アーロンチェアのポスチャーフィットを修理(112101)
2 . 福岡銀がデマの投稿者への刑事告訴を検討中(110740)
3 . 年次の人間ドックへ(110343)
4 . 2023 年分の確定申告完了！（１つめ）(109898)
5 . 三菱鉛筆がラミーを買収(109798)

cles::blog

"."というDNSクエリが大量に来ている