TMA-BIND-3.3

Restrict Query Origins

Trung bìnhCấp 1Tự độngbind

Mô tả

BIND can be configured to restrict access to its query services based on source IP address. It is recommended that the allow-query option be used to restrict access to only the networks authorized to use the name server. The audit requires a global allow-query option; confirm it lists only localhost and the authorized networks (any is acceptable only for an external authoritative-only server). The audit parses the effective configuration printed by named-checkconf -p (all include files resolved) from /etc/named.conf (RHEL; chroot /var/named/chroot is detected) or /etc/bind/named.conf (Debian/Ubuntu).

Cách kiểm tra

Phương pháp kiểm tra: Lệnh shell

shell

if [ -f /var/named/chroot/etc/named.conf ]; then out=$(named-checkconf -t /var/named/chroot -p /etc/named.conf 2>/dev/null) || exit 1
else conf=/etc/named.conf; [ -f "$conf" ] || conf=/etc/bind/named.conf
  out=$(named-checkconf -p "$conf" 2>/dev/null) || exit 1; fi
flat=$(printf '%s\n' "$out" | tr '\t\n' '  ' | tr -s ' ')
opts=$(printf '%s\n' "$out" | awk '/^options[ \t]*\{/{f=1} f{print} f&&/^\};/{exit}' | tr '\t\n' '  ' | tr -s ' ')
printf '%s\n' "$opts" | grep -Eq '[{; ]allow-query \{' && echo compliant || echo 'no global allow-query option'

Đầu ra mong đợi: compliant

Cách khắc phục

Phương pháp khắc phục: Hướng dẫn hoặc bản vá hạ tầng

For remediation: ; Create an ACL for the authorized trusted networks in the named.conf file. acl authorized_networks { 10.10.32.0/24; 10.10.34.0/24; . . . }; Add the allow-query statement to the global options of the named.conf file with the localhost ACL and the authorized trusted networks ACL. allow-query { localhost; authorized_networks };

Thuộc tính

Hệ điều hành: Bất kỳ
Thẻ: binddnsaccess-control
Tham chiếu: CIS ISC BIND DNS Server 9.11 Benchmark v1.0.0 - 3.3 Restrict Query Origins

Kiểm tra máy này

Chạy lệnh này trên máy bạn được phép kiểm tra. Lần quét chỉ ở chế độ đọc.

shell

tmaegis scan --target bind