Resolución de nombres interna y externa por diseño

4 tareas · 38 min · Principiante

Separar la resolución interna de la pública (split-horizon) y firmar zonas con DNSSEC protege contra envenenamiento de caché y fuga de topología. Se evalúan las zonas y configuraciones de BIND y Route53 en Transportes Caracolí.

0 de 4 · 0%

Objetivo de la sala

El diseño DNS split-horizon separa las vistas de nombres: los clientes de Internet resuelven únicamente registros públicos indispensables (portal web, MX, SPF), mientras que los servidores internos resuelven la topología privada de hosts, bases de datos y controladores de dominio. Además, las extensiones de seguridad DNS (DNSSEC) firman criptográficamente las respuestas con registros RRSIG, garantizando la autenticidad e impidiendo ataques de envenenamiento de caché o suplantación (DNS spoofing).

Responde para continuar

¿Cuál es el propósito fundamental de DNSSEC en la resolución de nombres?

Garantizar la autenticidad e integridad de las respuestas DNS mediante firmas criptográficas digitales Cifrar el contenido de las páginas web visitadas por los usuarios Reemplazar el protocolo HTTPS en servidores de aplicaciones

Ver pista de ayuda

Piensa en la validación de que la respuesta DNS proviene legítimamente de la zona autoritativa.

El inventario de zonas DNS identifica los servidores autoritativos y el estado de la validación criptográfica.

Abre el laboratorio y lee zonas-dns.txt. Identifica qué servidor autoritativo gestiona la zona pública con DNSSEC habilitado.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué servidor autoritativo gestiona la zona pública caracoli-transporte.com con DNSSEC activo? Escribe su nombre.

Ver pista de ayuda

Consulta la fila correspondiente a la zona pública en la tabla de zonas DNS.

Permitir solicitudes AXFR (transferencia de zona completa) a cualquier dirección IP entrega a un atacante el inventario exhaustivo de todos los hosts y servidores internos de la empresa.

Examina config-split-dns.txt y localiza el mecanismo mal configurado que permite la fuga de topología de red.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué mecanismo de control DNS figura como permitido a cualquier origen (ANY) generando fuga de topología? Escribe su nombre.

Ver pista de ayuda

Observa la fila correspondiente a la transferencia de zona en el archivo de configuración.

Un servidor DNS con recursión abierta hacia Internet puede ser utilizado por actores hostiles como reflector en ataques masivos de denegación de servicio distribuido (DDoS) por amplificación.

Responde para continuar

¿Cómo debe corregirse un servidor DNS autoritativo que tiene recursión abierta habilitada?

Desactivar completamente la recursión en servidores autoritativos públicos y limitar la recursión a clientes internos Eliminar los registros de tipo A de la zona pública Permitir peticiones UDP desde cualquier dirección IP pública

Ver pista de ayuda

Recuerda separar la función de resolución autoritativa de la resolución recursiva.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: arquitectura.caracoli-transporte.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Arquitectura split-horizon y DNSSEC

2 Autoridad pública con firma DNSSEC Lab

3 Mala configuración de transferencia de zona Lab

4 Mitigación de recursión abierta

Whoami-Labs Pro utiliza cookies