DNS là viết tắt của Domain Name System và điều này giúp trình duyệt tìm ra địa chỉ IP của một trang web để nó có thể tải nó trên máy tính của bạn. Bộ nhớ cache DNS^{(DNS cache)} là một tệp trên máy tính của bạn hoặc ISP của bạn có chứa danh sách địa chỉ IP của các trang web được sử dụng thường xuyên. Bài viết này giải thích ngộ độc bộ nhớ cache DNS và giả^(DNS) mạo DNS là gì.^(DNS)

Ngộ độc bộ nhớ cache DNS

Mỗi khi người dùng nhập URL trang web vào trình duyệt của họ, trình duyệt sẽ liên hệ với tệp cục bộ ( DNS Cache ) để xem có mục nhập để phân giải địa chỉ IP của trang web hay không. Trình duyệt cần địa chỉ IP của các trang web để có thể kết nối với trang web. Nó không thể chỉ sử dụng URL để kết nối trực tiếp với trang web. Nó phải được phân giải thành địa chỉ IP IPv4 hoặc IPv6 thích hợp . Nếu bản ghi ở đó, trình duyệt web sẽ sử dụng nó; nếu không, nó sẽ chuyển đến máy chủ DNS để lấy địa chỉ IP. Đây được gọi là tra cứu DNS^{(DNS lookup)} .

Bộ đệm DNS được tạo trên máy tính của bạn hoặc máy chủ ^(DNS)DNS của ISP để lượng thời gian truy vấn DNS của một URL được giảm bớt. Về cơ bản^(Basically) , bộ đệm DNS là các tệp nhỏ chứa địa chỉ IP của các trang web khác nhau thường được sử dụng trên máy tính hoặc mạng. Trước khi liên hệ với máy chủ DNS , các máy tính trên mạng liên hệ với máy chủ cục bộ để xem có mục nhập trong bộ đệm DNS hay không. ^(DNS)Nếu có, các máy tính sẽ sử dụng nó; nếu không máy chủ sẽ liên hệ với máy chủ DNS và tìm nạp địa chỉ IP. Sau đó, nó sẽ cập nhật DNS cục bộ^(DNS)bộ đệm với địa chỉ IP mới nhất cho trang web.

Mỗi mục nhập trong bộ nhớ cache DNS có một giới hạn thời gian được đặt ra, tùy thuộc vào hệ điều hành và độ chính xác của độ phân giải ^(DNS)DNS . Sau khi hết thời gian, máy tính hoặc máy chủ chứa DNS cache sẽ liên hệ với máy chủ DNS và cập nhật mục nhập để thông tin chính xác.
Tuy nhiên, có những người có thể đầu độc bộ nhớ cache DNS cho hoạt động tội phạm.^(DNS)

Đầu độc bộ nhớ cache^{(Poisoning the cache)} có nghĩa là thay đổi giá trị thực của URL^(URLs) . Ví dụ: tội phạm mạng có thể tạo một trang web giống như say, xyz.com và nhập bản ghi DNS của nó vào bộ nhớ cache DNS của bạn. ^(DNS)Do đó, khi bạn gõ xyz.com vào thanh địa chỉ của trình duyệt, sau đó sẽ chọn địa chỉ IP của trang web giả mạo và đưa bạn đến đó, thay vì trang web thật. Đây được gọi là Pharming . Sử dụng phương pháp này, tội phạm mạng có thể lấy cắp thông tin đăng nhập của bạn và các thông tin khác như chi tiết thẻ, số an sinh xã hội, số điện thoại, v.v. để đánh cắp danh tính^{(identity theft)} . DNSđầu độc cũng được thực hiện để đưa phần mềm độc hại vào máy tính hoặc mạng của bạn. Khi bạn truy cập vào một trang web giả mạo bằng cách sử dụng bộ nhớ cache DNS bị nhiễm độc , bọn tội phạm có thể làm bất cứ điều gì chúng muốn.

Đôi khi, thay vì bộ nhớ đệm cục bộ, bọn tội phạm cũng có thể thiết lập máy chủ DNS giả để khi bị truy vấn, chúng có thể đưa ra địa chỉ IP giả. Đây là tình trạng nhiễm độc DNS mức độ cao và làm hỏng hầu hết các bộ nhớ đệm DNS trong một khu vực cụ thể, do đó ảnh hưởng đến nhiều người dùng hơn.

Đọc về^{(Read about)} : Comodo Secure DNS | OpenDNS | DNS công cộng của Google^{(Google Public DNS)} | DNS bảo mật của Yandex^{(Yandex Secure DNS)} | DNS thiên thần.

Giả mạo bộ nhớ cache DNS

DNS spoofing is a type of attack that involves impersonation of DNS server responses in order to introduce false information. In a spoofing attack, a malicious user attempts to guess that a DNS client or server has sent a DNS query and is waiting for a DNS response. A successful spoofing attack will insert a fake DNS response into the DNS server’s cache, a process known as cache poisoning. A spoofed DNS server has no way of verifying that DNS data is authentic, and will reply from its cache using the fake information.

DNS Cache Spoofing nghe có vẻ giống với DNS Cache Poisoning , nhưng có một sự khác biệt nhỏ. Giả mạo bộ nhớ cache DNS^{(DNS Cache Spoofing)} là một tập hợp các phương pháp được sử dụng để đầu độc bộ nhớ cache DNS . Đây có thể là một mục bắt buộc vào máy chủ của mạng máy tính để sửa đổi và thao tác bộ đệm DNC . Điều này có thể đang thiết lập một máy chủ DNS giả để các phản hồi giả được gửi đi khi được truy vấn. Có nhiều cách để đầu độc bộ nhớ cache DNS và một trong những cách phổ biến là ^(DNS)giả mạo bộ nhớ cache DNS^{(DNS Cache Spoofing)} .

Đọc^(Read) : Cách tìm hiểu xem cài đặt DNS của máy tính của bạn có bị xâm phạm hay không bằng cách sử dụng ipconfig.

Ngộ độc bộ nhớ đệm DNS - Ngăn ngừa

Không có nhiều phương pháp có sẵn để ngăn chặn ngộ độc DNS Cache . Phương pháp tốt nhất là mở rộng quy mô hệ thống bảo mật của bạn^{(scale up your security systems)} để không có kẻ tấn công nào có thể xâm phạm mạng của bạn và thao túng bộ đệm DNS cục bộ. Sử dụng tường lửa tốt^{(good firewall)} có thể phát hiện các cuộc tấn công nhiễm độc bộ nhớ cache DNS . Xóa bộ nhớ cache DNS^{(Clearing the DNS cache)(Clearing the DNS cache)} thường xuyên cũng là một tùy chọn mà một số bạn có thể cân nhắc.

Ngoài việc mở rộng hệ thống bảo mật, quản trị viên nên cập nhật chương trình cơ sở và phần mềm của họ^{(update their firmware and software)} để giữ cho hệ thống bảo mật luôn cập nhật. Hệ điều hành nên được vá bằng các bản cập nhật mới nhất. Không được có bất kỳ liên kết gửi đi của bên thứ ba nào. Máy chủ phải là giao diện duy nhất giữa mạng và Internet và phải có tường lửa tốt.

Mối quan hệ tin cậy của các máy chủ^{(trust relations of servers)} trong mạng nên được chuyển lên cao hơn để chúng không chỉ yêu cầu bất kỳ máy chủ nào về độ phân giải DNS . Bằng cách đó, chỉ những máy chủ có chứng chỉ chính hãng mới có thể giao tiếp với máy chủ mạng trong khi phân giải máy chủ DNS .

Khoảng thời gian^(period) của mỗi mục nhập trong bộ đệm DNS phải ngắn để các bản ghi DNS được tìm nạp thường xuyên hơn và được cập nhật. Điều này có thể có nghĩa là khoảng thời gian kết nối với các trang web lâu hơn (đôi khi) nhưng sẽ làm giảm khả năng sử dụng bộ nhớ cache bị nhiễm độc.

Khóa DNS Cache^{(DNS Cache Locking)} phải được định cấu hình 90% trở lên trên hệ thống Windows của bạn . Khóa bộ đệm^(Cache) trong Windows Server cho phép bạn kiểm soát xem thông tin trong bộ đệm DNS có thể bị ghi đè hay không. Xem TechNet để biết thêm về điều này.

Sử dụng DNS Socket Pool vì nó cho phép máy chủ DNS sử dụng ngẫu nhiên hóa cổng nguồn khi đưa ra các truy vấn DNS . TechNet cho biết điều này cung cấp bảo mật nâng cao chống lại các cuộc tấn công nhiễm độc bộ nhớ cache .

Phần mở rộng Bảo mật Hệ thống Tên miền (DNSSEC)^{(Domain Name System Security Extensions (DNSSEC))} là một bộ phần mở rộng dành cho Windows Server nhằm bổ sung bảo mật cho giao thức DNS . Bạn có thể đọc thêm về điều này ở đây^(here) .

Có hai công cụ có thể khiến bạn quan tâm^{(There are two tools that may interest you)} : F-Secure Router Checker sẽ kiểm tra việc chiếm quyền điều khiển DNS và Công cụ Bảo mật WhiteHat giám sát các hành vi xâm nhập DNS.

Bây giờ hãy đọc: ^{(Now read:)} Hijacking DNS là^{(What is DNS Hijacking)} gì?

Quan sát và nhận xét được hoan nghênh.^{(Observation and comments are welcome.)}

DNS Cache Poisoning and Spoofing - What is it?

DNS stands for Domain Name System, and this helps a browser in figuring out the IP address of a website so that it can load it on your computer. DNS cache is a file on your or your ISP’s computer that contains a list of IP addresses of regularly used websites. This article explains what is DNS cache poisoning and DNS spoofing.

DNS Cache Poisoning

Every time a user types a website URL in his or her browser, the browser contacts a local file (DNS Cache) to see if there is an entry to resolve the IP address of the website. The browser needs the IP address of the websites so that it can connect to the website. It cannot simply use the URL to directly connect to the website. It has to be resolved into a proper IPv4 or IPv6 IP address. If the record is there, the web browser will use it; else it will go to a DNS server to get the IP address. This is called DNS lookup.

A DNS cache is created on your computer or your ISP’s DNS server computer so that the amount of time spent in querying the DNS of a URL is reduced. Basically, DNS caches are small files that contain the IP address of different websites that are frequently used on a computer or network. Before contacting DNS servers, computers on a network contact the local server to see if there is an entry in the DNS cache. If there is one, the computers will use it; else the server will contact a DNS server and fetch the IP address. Then it will update the local DNS cache with the latest IP address for the website.

Each entry in a DNS cache has a time limit set, depending upon operating systems and the accuracy of DNS resolutions. After the period expires, the computer or server containing the DNS cache will contact the DNS server and update the entry so that the information is correct.
However, there are people who can poison the DNS cache for criminal activity.

Poisoning the cache means changing the real values of URLs. For example, cybercriminals can create a website that looks like say, xyz.com and enter its DNS record in your DNS cache. Thus, when you type xyz.com in the address bar of the browser, the latter will pick up the IP address of the fake website and take you there, instead of the real website. This is called Pharming. Using this method, cybercriminals can phish out your login credentials and other information such as card details, social security numbers, phone numbers, and more for identity theft. DNS poisoning is also done to inject malware into your computer or network. Once you land on a fake website using a poisoned DNS cache, the criminals can do anything they want.

Sometimes, instead of the local cache, criminals can also set up fake DNS servers so that when queried, they can give out fake IP addresses. This is high-level DNS poisoning and corrupts most of the DNS caches in a particular area thereby affecting many more users.

Read about: Comodo Secure DNS | OpenDNS | Google Public DNS | Yandex Secure DNS | Angel DNS.

DNS Cache Spoofing

DNS spoofing is a type of attack that involves impersonation of DNS server responses in order to introduce false information. In a spoofing attack, a malicious user attempts to guess that a DNS client or server has sent a DNS query and is waiting for a DNS response. A successful spoofing attack will insert a fake DNS response into the DNS server’s cache, a process known as cache poisoning. A spoofed DNS server has no way of verifying that DNS data is authentic, and will reply from its cache using the fake information.

DNS Cache Spoofing sounds similar to DNS Cache Poisoning, but there is a small difference. DNS Cache Spoofing is a set of methods used to poison a DNS cache. This could be a forced entry to a computer network’s server to modify and manipulate the DNC cache. This could be setting up a fake DNS server so that fake responses are sent out when queried. There are many ways to poison a DNS cache, and one of the common ways is DNS Cache Spoofing.

Read: How to find out if your computer’s DNS settings have been compromised using ipconfig.

DNS Cache Poisoning – Prevention

There are not many methods available to prevent DNS Cache poisoning. The best method is to scale up your security systems so that no attacker can compromise your network and manipulate the local DNS cache. Use a good firewall that can detect DNS cache poisoning attacks. Clearing the DNS cache frequently is also an option some of you may consider.

Other than scaling up security systems, admins should update their firmware and software to keep the security systems current. Operating systems should be patched with the latest updates. There should not be any third-party outgoing link. The server should be the only interface between the network and the Internet and should be behind a good firewall.

The trust relations of servers in the network should be moved up higher so that they do not ask just any server for DNS resolutions.  That way, only the servers with genuine certificates would be able to communicate with the network server while resolving DNS servers.

The period of each entry in the DNS cache should be short so that DNS records are fetched more frequently and are updated. This may mean longer time periods of connecting to websites (at times) but will reduce the chances of using a poisoned cache.

DNS Cache Locking should be configured to 90% or greater on your Windows system. Cache locking in Windows Server allows you to control whether or not information in the DNS cache can be overwritten. See TechNet for more on this.

Use the DNS Socket Pool as it enables a DNS server to use source port randomization when issuing DNS queries. This provides enhanced security against cache poisoning attacks, says TechNet.

Domain Name System Security Extensions (DNSSEC) is a suite of extensions for Windows Server that add security to the DNS protocol. You can read more about this here.

There are two tools that may interest you: F-Secure Router Checker will check for DNS hijacking, and WhiteHat Security Tool monitors DNS hijackings.

Now read: What is DNS Hijacking?

Observation and comments are welcome.

Related posts

• Khắc phục thông báo tấn công nhiễm độc bộ nhớ đệm DNS đã phát hiện

• Cách Clear, Reset, Flush DNS Cache trong Windows 10

• Làm thế nào để Flush and Reset các DNS Cache trong Windows 10

• Cách xóa bộ nhớ cache DNS trên Windows, Mac, Android và iOS

• Best Các dịch vụ Dynamic DNS miễn phí trên web bạn nên sử dụng

• DNS Server của bạn có thể không có sẵn trong Windows 10

• Làm thế nào để Fix DNS Server không đáp ứng lỗi

• một DNS Hijacking attack là gì và làm thế nào để ngăn chặn nó

• Làm thế nào để cài đặt và sử dụng Cloudflare 1.1.1.1 for Families

• Cách thay đổi cài đặt DNS trong Windows 10 dễ dàng

• Cách bật DNS trên HTTPS trong Windows 10

• Cách xóa các miền cụ thể khỏi Firefox DNS trên HTTPS

• Làm thế nào để sử dụng DNS qua HTTPS privacy tính năng trong Windows 11

• Cách thiết lập Google Public DNS trên máy tính của bạn

• Cách chuyển sang OpenDNS or Google DNS trên Windows

• Cách chặn các trang web dành cho người lớn bằng Windows 10 bằng DNS Services

• Cách thay đổi DNS server bằng Command Prompt and PowerShell

• Fix Your DNS Server có thể là lỗi không khả dụng

• Làm cách nào để kiểm tra xem Router của bạn bị hack hay DNS bị tấn công?

• Kích hoạt DNS trên HTTPS trong Firefox, Chrome, Edge, Opera, Android, iPhone