Cisco: schakel DNS-server uit

Cisco adviseert bedrijven om DNS-servers van routers tijdelijk uit te schakelen en firewalls te herconfiguren, wanneer het voor hen niet mogelijk is om snel een patch te installeren voor het ernstige DNS-lek dat begin juli bekend werd. Bedrijven stellen patchen vaak uit omdat ze niet onverhoeds willen ingrijpen in stabiele productieomgevingen.

Marc Samsom, product sales specialist bij Cisco, over het ernstige DNS-lek dat begin juli bekend werd: "Belangrijk is om de DNS-infrastructuur van je bedrijf gedetailleerd in kaart te brengen. Daarbij moet je grondig te werk gaan. Load balancers, die voor grote websites de webpagina-verzoeken van bezoekers gelijkelijk verdelen over een aantal webservers, kunnen bijvoorbeeld ook een dns-server bevatten. Die moet je niet over het hoofd zien. Vervolgens moet je inventariseren van welke leveranciers je apparaten hebt staan, en of die apparaten vatbaar zijn voor het DNS-lek."

"Het eenvoudigst is om kwetsbare apparaten meteen te patchen, maar je kunt niet altijd apparaten zomaar uit de lucht halen. Er kan bijvoorbeeld 24x7 beschikbaarheid vereist zijn, of je zit in een ‘freeze-fase'. Of het kan zo zijn dat een bedrijf de regel heeft dat patchen pas mag na uitgebreid testen." In dat geval is het volgens Samsom wijsheid om de DNS-infrastructuur van een bedrijf te vereenvoudigen. "Schakel desnoods alle niet-essentiële DNS-servers tijdelijk uit, bijvoorbeeld in routers."

Nonchalant patchbeleid

Firewalls kunnen aanval detecteren

Daarnaast kunnen firewalls volgens Samsom zo worden ingericht dat aanvallen op DNS-servers worden gedetecteerd en gestopt. Volgens de product sales specialist van Cisco werkt het Intrusion Prevention System (IPS) van de leverancier van netwerkapparatuur nog steeds, zelfs al zijn massabombardementen volgens de methode-Kaminsky niet meer vereist. Samsom: "De detectiesoftware signaleert ook vijf of zes pogingen."

Ook kunnen Cisco´s ASA en PIX firewalls volgens Samsom het identificatienummer van vertaalverzoeken zodanig randomiseren, dat het huidige DNS-lek wordt vermeden.