Sommaire

Sécuriser un serveur DNS

Un serveur DNS est susceptible de recevoir des demandes issues de l’inter-réseau auquel il participe, demandes pouvant provenir de clients DNS ou d’autres serveurs DNS. Il peut donc constituer un point d’entrée vers l’organisation dont il dépend, et être utilisé pour recueillir des informations sensibles (adresses et noms de machines ou de services réseau).

D’autre part, dans l’hypothèse d’une faille de sécurité dans le programme exécutable de BIND, un serveur DNS pourrait être utilisé pour prendre le contrôle du système sur lequel il s’exécute, ou pour fournir des informations sensibles (comptes utilisateurs, etc.).

Différentes techniques permettent de sécuriser un serveur BIND :

  • Limiter les clients et serveurs DNS autorisés à communiquer avec lui.

  • Répartir les données noms/adresses entre plusieurs serveurs.

  • Restreindre les possibilités de lecture-écriture du serveur à une branche de l’arborescence du système de fichiers global (chroot jail).

1. Contrôle des clients autorisés

Un serveur BIND peut être configuré pour ne traiter les demandes que d’hôtes autorisés et/ou pour refuser les demandes de certains hôtes. La sélection peut se faire en spécifiant des adresses IP ou des identifiants de réseau/sous-réseau.

a. L’option allow-query ...