مخاطر تسمم DNS

خطوات الاستخدام

أدخل عدد بتات معرف المعاملة (Transaction ID) المستخدم في استعلامات DNS. عادةً يكون 16 بت، ولكن بعض التطبيقات تستخدم بتات إضافية من المنفذ العشوائي لزيادة الأمان. كلما زاد عدد البتات، زاد عدد القيم الممكنة لتخمين معرف المعاملة، مما يصعب هجوم تسمم DNS.

أدخل معدل التحديد (Rate Limit) بالاستعلامات في الثانية. هذا هو عدد الاستعلامات الخادعة التي يمكن للمهاجم إرسالها في الثانية الواحدة. تقوم خوادم DNS المتقدمة بتحديد المعدل للحد من سرعة الهجوم. كلما انخفض المعدل، زاد الوقت اللازم للهجوم الناجح.

سيقوم الحاسب بحساب عدد المحاولات المطلوبة لتخمين معرف المعاملة الصحيح: عدد المحاولات = 2^(عدد البتات). ثم يقسم عدد المحاولات على معدل التحديد للحصول على الوقت المتوقع بالثواني لنجاح هجوم تسمم واحد.

الأسئلة الشائعة

هجوم تسمم DNS هو نوع من الهجمات الإلكترونية حيث يقوم المهاجم بإدخال سجلات DNS مزيفة في ذاكرة التخزين المؤقت لخادم DNS. عندما يرسل خادم DNS سؤالاً إلى خادم اسم موثوق، فإنه يتوقع رداً يحتوي على معرف معاملة (Transaction ID) يطابق المعرف الذي أرسله. يستغل المهاجم إمكانية تخمين معرف المعاملة. في الإصدارات القديمة من DNS، كان معرف المعاملة بحجم 16 بت فقط، مما يعني 65536 قيمة ممكنة. يرسل المهاجم العديد من الاستجابات المزيفة بمعرفات مختلفة بسرعة عالية محاولاً تخمين المعرف الصحيح قبل وصول الرد الحقيقي. إذا نجح التخمين، يُخزن الخادم السجل المزيف في الكاش، ويتم توجيه المستخدمين إلى موقع ضار. التطورات الحديثة أضافت عشوائية في المنفذ المصدر (Source Port) لزيادة عدد البتات الإجمالي إلى 32 بت (16 بت للمعرف و16 بت للمنفذ)، مما يصعب التخمين بشكل كبير. بالإضافة إلى ذلك، يتم استخدام تحديد المعدل (Rate Limiting) لتقليل سرعة الاستجابات الخادعة التي يمكن إرسالها، مما يجعل الهجوم غير عملي.

كلما زاد عدد بتات معرف المعاملة، زاد مجال القيم الممكنة (2^n). في DNS التقليدي، كان 16 بت فقط يعطي 65536 قيمة. المهاجم يمكنه تخمينها بسرعة إذا لم يكن هناك تحديد معدل. بإضافة عشوائية المنفذ، يصبح إجمالي البتات 32 بت، أي حوالي 4.3 مليار قيمة. هذا يرفع عدد المحاولات المطلوبة للهجوم الناجح بشكل هائل. على سبيل المثال، إذا كان معدل التحديد 1000 استجابة مزيفة في الثانية، فإن الوقت اللازم لتخمين معرف 16 بت هو 65 ثانية فقط، بينما لـ 32 بت هو 49.7 يوماً. لذلك، تعتمد المؤسسات الآن على معايير مثل RFC 5452 التي توصي بعشوائية المنفذ. حتى مع زيادة عدد البتات، يبقى تحديد المعدل مهماً لأن المهاجم يمكنه زيادة سرعته. فمثلاً، مع 32 بت ولكن بدون تحديد معدل، يمكن للمهاجم إرسال ملايين الاستجابات بسرعة، مما يقلص الوقت إلى أيام أو ساعات. لذلك، يجب الجمع بين التوسيع في العشوائية والتحكم في المعدل لتحقيق أمان قوي.

تحديد المعدل هو إجراء أمني يحد من عدد الطلبات أو الاستجابات التي يمكن إرسالها إلى خادم DNS في فترة زمنية معينة. في سياق هجوم تسمم DNS، يرسل المهاجم عدداً كبيراً من الاستجابات المزيفة بمعرفات مختلفة محاولاً تخمين المعرف الصحيح. تحديد المعدل يمنع المهاجم من إرسال أكثر من عدد معين من الاستجابات في الثانية. على سبيل المثال، إذا تم ضبط معدل التحديد على 100 استجابة في الثانية، فإن المهاجم يمكنه إرسال 100 استجابة فقط كل ثانية. وبما أن عدد المحاولات المطلوبة هو 2^(عدد البتات)، فإن الوقت بالثواني = (2^عدد البتات) / (معدل التحديد). إذا كان عدد البتات 16، والحد 100، فسيحتاج المهاجم 65536/100 = 655.36 ثانية أي حوالي 11 دقيقة. هذا الوقت قد يكون كافياً لتنفيذ هجوم ناجح، خاصة إذا كان المهاجم يمكنه تكرار المحاولة مراراً. لذلك، ينصح بتحديد معدل منخفض جداً (مثلاً 10 استجابات/ثانية) مع زيادة العشوائية. تحديد المعدل لا يمنع الهجوم بالكامل ولكنه يجعله بطيئاً جداً لدرجة أنه غير عملي. كما أنه يساعد في اكتشاف الهجوم، حيث أن الارتفاع المفاجئ في الاستجابات يمكن أن ينبه المسؤولين.

لحماية خوادم DNS من هجمات التسمم، يجب اتباع مجموعة من الإجراءات: أولاً، استخدام عشوائية المنفذ المصدر (Source Port Randomization) لزيادة عدد البتات القابلة للتخمين من 16 إلى 32 بت. ثانياً، تطبيق تحديد المعدل (Rate Limiting) على الاستجابات الصادرة من الخادم أو الواردة إليه، بحيث لا يتجاوز عدد معين في الثانية. ثالثاً، استخدام بروتوكول DNSSEC (DNS Security Extensions) الذي يضيف توقيعاً رقمياً للاستجابات، مما يمنع التلاعب بالسجلات حتى لو تم تخمين المعرف. رابعاً، تحديث برامج DNS باستمرار لتصحيح الثغرات. خامساً، استخدام خوادم DNS العليا التي تدعم عشوائية الاستعلامات. سادساً، تنفيذ مراقبة للشبكة لكشف النشاط غير العادي مثل عدد كبير من الاستجابات المزيفة. يمكن للحاسبة المقدمة مساعدة المسؤولين في تقييم المخاطر الحالية بناءً على تكويناتهم الخاصة. فمثلاً، إذا كانت نتيجة الحساب تظهر وقتاً أقل من دقيقة، يجب تطبيق تحسينات فورية.

مخاطر تسمم DNS

أدخل القيم

خطوات الاستخدام

أمثلة محلولة

أمثلة محسوبة

الأسئلة الشائعة

أدخل القيم

خطوات الاستخدام

حاسبات ذات صلة

1خادم DNS يستخدم معرف معاملة بحجم 16 بت فقط (بدون عشوائية منفذ)، ومعدل التحديد مضبوط على 500 استعلام خادع في الثانية. ما مدى خطورة هجوم تسمم DNS؟

2نظام DNS محمي بعشوائية المنفذ (16 بت إضافية) ليصبح إجمالي البتات 32 بت، ومعدل التحديد 10 استعلامات في الثانية. كم من الوقت يحتاج المهاجم لتسميم الكاش؟

أمثلة محسوبة

الأسئلة الشائعة