10주차 - DNS

DNS

상대편의 IP Address를 이용하여 서로를 구별하고 메시지 데이터를 전송한다.

컴퓨터에 접속하기 위해서는 그러면 수만개의 네트워크 IP Address를 알아야할까?

도메인네임과 ip address를 매핑시켜서 사람들 입장에서는 도메인 네임만 알면 도메인네임과 IP Address 바꿔주는것

 

DNS 서비스

네트워크 상에서 IP Address를 사용하여 구별, 통신을 할 수 있다

네트워크를 통해서 원격의 서버에 접속하기위해 주소를 이용하여야 하지만
ip주소를 일일히 외울수 없어서 나온게 도메인 주소체계

즉 도메인 네임을 입력하면 DNS서버가 제공하는 서비스를 활용해 그 도메인 네임에 해당하는 ip address를 받게 되고 

ip address를 원하는 서버에 접속을 하는식

 

DNS특징

대규모 자원 엄청나게 많은 자원에 대한 명칭을 부여할 수 있고 분산화를 시킬 수 있다

트래픽부하 분산효과 하나의 영문이름에 여러개의 IP Address주소를 집합 

 

DNS 프로토콜의 특징

DNS를 위한 질의 및 응답을 위한 사용포트를 사용

즉 여러개의 포트를 사용하지 않고 53번만 사용

전송프로토콜은 UDP사용

 

DNS 캐싱

어떠한 도메인 네임에 대해서 IP Address를 특정 컴퓨터가 물어봤다고 했을 때 동일한 쿼리 동일한 질문을 할 확률이 상당히 높다

도메인 네임서버에서는 한번 질의가 있었던 도메인네임은 캐시에 저장을 해서 

동일한 커리가 들어왔을 때 또 다른 도메인네임서버에게 물어보는것이 아니라 로컬영역에 저장되어있는 정보들로 바로 응답해 줄 수 있게끔 해주는게 DNS캐싱

TTL(Time to Live)을 설정한 만큼 로컬 메모리 영역에 저장해놨다가 똑같은 질의에 대해서는 신속하게 처리 가능

유용하고 성능향상 공격에 악용

 

DNS 취약점

서버 리스트 노출

dns 소프트웨어 취약점

ddos attack에 취약

 

---

DNS 포이즈닝 공격

정의

DNS사용하는 캐시에 포이즈닝을 심어 공격 취약점을 유발하는 방식

DNS캐싱이란

Internet Service Provider에서 자체적으로 DNS서버 운영

다른 DNS에서 정보를 캐시함

예를 들어 공유기도 이런 ISP에 DNS가 가진 정보들을 캐시하고 DNS서버의 역할 기능을 한다

 

자주 사용하는 도메인네임의 IP Address를 공유기 메모리에 캐시 저장 해서 서버까지 안가고 바로 응답

 

DNS 캐시 포이즈닝 공격

DNS서버 케시 메모리에 가짜 데이터저장을 통해

쿼리정보 변조 위주 공격으로 사용유도

 

DNS 캐시 포이즈닝절차

1. 캐시 DNS서버의 데이터를 변조
2. 사용자가 그 dns서버에 접속해서 퀴리에 대한응답으로 변조된 웹사이트의 ip address전송
3. 그러면 사용자는 공격자가 유도하고 있는 웹사이트로 접속

DNS캐시 포이즈닝 대응방안

DNS서버 내외부분리

동적 DNS update제한

불필요한 서비스 제한

DNSSEC은 DNS데이터의 위조 변조 공격방

---

사회공학적 기법

• 신회 바탕으로 보안 절차 파괴
• 사람사이의 신뢰를 바탕으로 상대방의 정보를 꾀어내는 방식

두가지방식

• 인간기반 사회공학기번 - 직접적 접근 , 도청 , 어깨너머 훔치기
• 컴퓨터 기반 사회 공학 기법 - 시스템 ㅂ분석,악성,소프트웨어전송

파밍

사전적 의미

• 사용자가 가짜 웹사이트에 접속하게 하여 개인정보를 훔치는것
• 사용자는 정확한 웹페이지주소를 입력

기술적 의미

• 합법적 소유의 사용자 도메인 탈취 DNS주소변조

파밍 대응

• OTTP,보안 토큰
• 보안카드번호 전체 입력하지 않는다
• 사이트 주소 확인
• OS,백신 업데이트

---

피싱

신뢰할 수 있는 사람 기업으로 가장해 비밀번호 신용카드정보와 같은 기밀을 요구하는 사회공학적 공격기법

금전적 피해 유발

역동성 및 급속한 진화 - 트렌드에 맞춰 달라짐

 

피싱의종류

• 스피어 피싱 - 특정기관이나 기업의 내부직원 특정표적을 집중적으로 공격
• 보이스 피싱 , 메신저 피싱
• 스미싱 - 문자 + 피싱 URL이 깔려서 금전적 손해

기술적 대응

• 웹사이트 인증,메일서버인증
• PC확인방식,전자서명 메일 

사회문화적 대응

• 켐페인