[보안취약점] U-34. 서비스관리- DNS Zone Transfer 설정

■ 점검항목 설명

Zone Transfer를 허가된 사용자에게만 허용하거나 불필요한 DNS 서비스는 사용을 중지해야 한다.

DNS 서버에 저장되어있는 도메인 정보를 DNS 서버가 아닌 다른 외부로 유출하는 것은 보안상 바람직하지 않으므로 

DNS Zone Transfer는 Primary Name server와 Second Name server 간에 Zone 정보를 일관성 있게 유지하기 위하여 사용하는 기능

■ 점검기준

양호	DNS 서비스 미사용, Zone Transfer를 허가된 사용자에게만 허용
취약	DNS 서비스 사용, Zone Transfer를 모든 사용자에게 허용

■ 점검방법

▷ DNS 서비스 사용할 경우

- DNS 서비스 사용 시 /etc/named.conf 파일의 allow-transfer 및 xfrnets 확인

# ps -ef | grep named

# cat/ etc/named.conf
options {

          allow-transfer { any;}
         
}
# cat /etc/named.boot
options {
            ....
            xfrnets ;
}



allow-transfer { none; };이 양호 

■ 대응방안

▷ DNS 서비스 사용할 경우

- 2차 서버를 사용하지 않거나 zone-transfer 기능이 불필요한 경우 주석 제거 BIND8 DNS 설정 allow -transfer 설정

options { allow-transfer {none;};  };

- zone-transfer 기능이 필요할 경우 allow-transfer 설정
options {     allow-transfer {192.168.0.11;}; };

- BIND 4.9 DNS 설정 수정 예
options { xfrnets 허용 IP };

▷ DNS 서비스 사용하지 않을 경우

# ps -ef | grep named

# kill -9 [PID]

# service named stop