Belajar DNS - Keamanan & Hardening DNS

#Pendahuluan

DNS adalah infrastruktur paling dipercaya di internet — dan justru karena itu menjadi target empuk. Sebuah server DNS yang tidak di-hardening bisa dipakai untuk meracuni jawaban, memantulkan serangan DDoS, atau menjadi saluran keluar data yang tersembunyi.

Episode 16 membedah ancaman utama DNS lalu memasang pertahanan berlapis: mulai dari perilaku daemon, kebijakan di dnsdist, hingga Response Policy Zones. Tidak ada satu senjata pamungkas — keamanan DNS adalah hasil dari banyak lapisan yang bekerja bersama.

#Ancaman DNS

#Cache Poisoning dan Spoofing

Cache poisoning (dipopulerkan serangan Kaminsky) menyuntikkan jawaban palsu ke cache recursor. Dengan membanjiri query dan menebak ID transaksi, penyerang bisa mengarahkan pengguna ke server jahat. Spoofing bekerja dengan memalsukan paket jawaban sebelum jawaban asli tiba.

#Amplification DDoS dan Tunneling

• Amplification: penyerang mengirim query kecil dengan alamat korban sebagai sumber (spoofed), lalu server membalas dengan jawaban besar — memperkuat serangan DDoS berkali-kali lipat.
• DNS tunneling: data di-encode ke dalam query dan jawaban, mengubah DNS menjadi saluran komunikasi tersembunyi untuk eksfiltrasi data atau remote control.

sudo tcpdump -i any port 53 -n -vv | grep -m 5 "53 >"

Perhatikan port sumber pada jawaban yang masuk: port yang acak dan berbeda-beda adalah salah satu tanda 0x20 randomization bekerja.

#Hardening di Recursor

#Random Source Port dan 0x20

Recursor memakai port sumber acak untuk setiap query ke upstream dan 0x20 randomization — acak besar-kecil huruf pada nama query — sehingga penyerang jauh lebih sulit menebak kombinasi yang benar:

min-pool-size: 20000
max-cache-entries: 2000000

Dengan min-pool-size, Recursor menjaga kumpulan port sumber selalu cukup besar. Gabungan port acak, ID acak, dan 0x20 membuat kemungkinan berhasil menebak jawaban palsu menjadi sangat kecil.

#DNS Cookies (RFC 7873)

DNS Cookies adalah mekanisme lightweight: klien mengirim cookie, server memvalidasi dan membalas dengan cookie miliknya. Server yang tidak tahu cookie tidak akan direspons. Recursor 5.4 mendukung DNS cookies, termasuk untuk koneksi outgoing:

use-dns-cookies: true

#Hardening di dnsdist

#Rate Limiting dan Dynamic Rules

dnsdist membatasi kecepatan per klien dan memblokir sumber yang mencurigakan secara dinamis:

rateLimits:
  - qps: 50
    burst: 100
    ipv4mask: 24
    ipv6mask: 56

rateLimits membatasi 50 query per detik per subnet. Penyerang yang melampaui batas langsung ditekan tanpa mengganggu klien normal.

dynamicRules:
  - clientIP: 192.0.2.66/32
    action: Drop

Dengan dynamicRules, alamat yang jelas-jelas menyerang bisa di-drop langsung. Kombinasi keduanya menghentikan DDoS DNS di pintu gerbang.

#ACL dan Validasi Sumber

ACL membatasi siapa yang boleh bertanya; selain itu, dnsdist memakai ecs dan validasi sumber untuk mencegah spoofed query:

dnsdist -c
showACL()
addACL("10.0.0.0/8")
quit()

#Response Policy Zones (RPZ)

#Memblokir Domain Berbahaya

RPZ (Response Policy Zones) mengubah jawaban untuk domain yang masuk daftar blokir. Ini seperti firewall untuk DNS: query ke domain malware diarahkan ke NXDOMAIN atau alamat sinkhole.

rpz-file:
  - path: /etc/powerdns/rpz.block
    zone: rpz.internal
    maxTtl: 3600

Dengan rpz-file, Recursor memuat daftar domain berbahaya. Saat ada query ke domain dalam daftar, jawaban diubah sesuai policy — pengguna dicegah mengaksesnya tanpa menyadari.

dig @127.0.0.1 malware.example.com A +short

Jika malware.example.com ada di daftar RPZ, jawabannya berubah menjadi NXDOMAIN atau alamat sinkhole, bukan IP asli.

#Lapisan Pertahanan Menyeluruh

#Rangkuman Checklist

Satu lapisan tidak cukup. Gabungkan semuanya:

ACL di recursor dan dnsdist
random source port + 0x20 randomization
DNS cookies aktif
rate limiting di dnsdist
dynamic block rules untuk sumber agresif
RPZ untuk domain berbahaya
DNSSEC validasi (episode 14)
encrypted DNS (episode 15)

Kombinasi ini membuat server DNS kalian tahan terhadap poisoning, spoofing, amplification, dan tunneling.

#Penutup

Episode 16 mengubah server DNS kalian dari target empuk menjadi benteng berlapis: memahami ancaman poisoning, spoofing, amplification, dan tunneling, lalu menutupnya dengan port acak, 0x20, DNS cookies, rate limiting, dynamic rules, ACL, dan RPZ.

Inti yang harus dibawa pulang:

• Cache poisoning ala Kaminsky dan spoofing menyerang kepercayaan jawaban DNS.
• Random source port, 0x20 randomization, dan DNS cookies menggagalkan tebakan jawaban palsu.
• dnsdist menghentikan DDoS lewat rate limiting dan dynamic block rules.
• ACL membatasi sumber query; validasi sumber mencegah spoofing.
• RPZ mengubah jawaban untuk domain berbahaya menjadi NXDOMAIN atau sinkhole.
• Keamanan DNS adalah banyak lapisan yang bekerja bersamaan, bukan satu fitur.

Di episode 17 selanjutnya kita akan membahas dnsdist advanced: policy, cache, dan Lua — kebijakan load balancing dan health check dengan failover, konfigurasi packet cache dan dynamic rules, serta scripting Lua kustom untuk pemilihan server, rate limit per klien, dan logging query.