DNS rebinding
DNS rebinding — тип кибератаки, при которой злоумышленник использует DNS-ответы с очень низким временем жизни (TTL) и подменяет публичный IP-адрес на приватный (например,
127.0.0.1или192.168.1.1). Это заставляет браузер пользователя взаимодействовать с внутренними сетевыми сервисами, что может привести к компрометации роутеров, принтеров, систем мониторинга и других устройств в локальной сети.
Как работает защита в DNS RADAR
Система автоматически удаляет приватные IP-адреса из DNS-ответа перед отправкой клиенту. Если разрешённый домен должен легитимно указывать на внутренний ресурс (например,internal.company.com), его необходимо добавить в белый список компании — для таких доменов приватные адреса сохраняются.
Узнать статус защиты от DNS rebinding можно в настройках компании 2 в строке DNS rebinding
Примечание: Для корректной работы внутренних ресурсов, которые должны разрешаться в приватные IP-адреса, добавьте соответствующие домены в белый список компании. Защита не применяется к доменам из белого списка.
Диапазоны IP-адресов, удаляемые из ответа
При включённой защите из DNS-ответа удаляются следующие приватные диапазоны (фиксированный список):
| Диапазон IPv4 | Диапазон IPv6 |
|---|---|
10.0.0.0/8 | fd00::/8 |
172.16.0.0/12 | fe80::/10 |
192.168.0.0/16 | ::ffff:0:0/96 |
169.254.0.0/16 | — |
Примеры фильтрации
Пример 1: Обычный внешний домен
1. Домен example.com разрешается в 93.184.216.34 (публичный) и 192.168.1.1 (приватный — аномалия)
2. Если защита включена и домен не в белом списке
3. Клиент получит DNS-ответ только с адресом 93.184.216.34
4. В Журнале событий в поле "IP-адрес DNS-ответа" будет значение 93.184.216.34
Пример 2: Внутренний ресурс в белом списке
1. Домен internal.company.com разрешается в 192.168.1.10 (приватный) и 10.0.0.5 (приватный)
2. Защита включена и домен добавлен в белый список компании
3. Клиент получит оба приватных адреса — ответ не изменяется
4. В Журнале событий в поле "IP-адрес DNS-ответа" будет два значения 192.168.1.10 и 10.0.0.5
Пример 3: Защита отключена
1. Домен example.com разрешается в 93.184.216.34 и 127.0.0.1
2. Защита от атаки DNS rebinding выключена
3. Клиент получит оба адреса, включая локальный 127.0.0.1
4. В Журнале событий в поле "IP-адрес DNS-ответа" будет два значения 93.184.216.34 и 127.0.0.1
Просмотр информации в Журнале событий
- Перейдите в раздел Журнал событий → История запросов
- В детальной информации о событии (при клике на запись) в поле IP-адрес DNS-ответа отображается итоговый список адресов после применения защиты