DNS Zone Transfer
چیست و چطور می‌توان آن را تشخیص داد؟

قبل از هر چیز یک توضیح کوتاه درباره DNS بدم :
DNS یا Domain Name System
سرویس اصلی اینترنت برای تبدیل نام دامنه به IP هستش. وقتی شما می‌خواهید وارد مثلاً example.com شوید، کامپیوتر شما نمی‌تواند مستقیم نام دامنه را بفهمد و به آن متصل شود، چون پروتکل اینترنت فقط با IP کار می‌کند. DNS مثل یک دفترچه تلفن اینترنتی عمل می‌کنه که IP متناظر با هر دامنه رو برمیگردونه

هر سایت روی اینترنت یک یا چند DNS سرور دارد که مسئول ارائه این اطلاعات هستن. وقتی مدیر سایت، اطلاعات دامنه خود را روی DNS سرور قرار می‌دهد، این اطلاعات در دسترس کاربران قرار می‌گیره. اما بعضی وقتا برخی از ساب‌دامین‌ها یا اطلاعات حساس به اشتباه روی DNS سرور تعریف میشن و ممکن است توسط یک مهاجم قابل دسترسی باشن

Zone Transfer
چیست؟

Zone Transfer یا AXFR
یک فرایند در DNS است که برای کپی کردن تمام اطلاعات یک دامنه از یک DNS سرور استفاده می‌شود

به زبان ساده بخام بگم

یک مهاجم می‌توانه از طریق Zone Transfer کل دایره‌المعارف DNS یک دامنه شامل تمام ساب‌دامین‌هاش رکوردهای MX، A، TXT و غیره رو بدست بیاره
اما یه نکته این فرایند اکثراً موفق نیست چون اکثر DNS سرورها با پالیسی‌های امنیتی درست تنظیم شده‌اند و Zone Transfer به درخواستهای ناشناس پاسخ نمیده
اما با این حال  برخی DNS سرورهای ضعیف یا بد پیکربندی شده  به اشتباه اطلاعات را در اختیار مهاجم قرار میدن

یه مثال عملی بخام بگم

فرض کنید می‌خوایم برای دامنه zonetransfer.me
سرورهای DNS رو پیدا کنیم و Zone Transfer رو تست کنیم

1 ابتدا لیست سرورهای معتبر رو پیدا می‌کنیم:

dig +short NS zonetransfer.me
این دستور نام DNS سرورهای دامنه را برمیگردونه مثال بزنم

nsztm1.dnsowl.com
nsztm2.dnsowl.com
سپس تلاش می‌کنیم Zone Transfer انجام بدیم

dig @nsztm1.dnsowl.com zonetransfer.me AXFR
اگر سرور به درستی پیکربندی شده باشد، معمولاً خطای دسترسی دریافت می‌کنیم و عملیات ناموفق است. اما اگر سرور ضعیف باشد، تمام رکوردهای دامنه نمایش داده می‌شود.

نکات مهم برای SOC

برای SOC (Security Operations Center)
Zone Transfer
می‌تواند هم تهدید باشد و هم منبع اطلاعات مفید برای کشف مشکلات امنیتی:

شناسایی فعالیت مشکوک:

   درخواست‌های AXFR از منابع خارجی میتواند نشانه تلاش مهاجم برای جمع‌آوری اطلاعات باشن
ثبت لاگ‌های DNS برای تحلیل چنین فعالیت‌هایی ضروریه

پالیسی‌ها :

اطمینان از اینکه Zone Transfer فقط بین DNSهای داخلی انجام میشه و برای عموم مسدود هستش
بررسی و محدود کردن دسترسی به سرویس‌های DNS در فایروال و ACL

تست‌های امنیتی داخلی:

تست‌های دوره‌ای Zone Transfer روی سرورهای داخلی برای شناسایی مشکلات پیکربندی قبل از نفوذ مهاجم
   استفاده از ابزارهایی مثل dig یا اسکریپت‌های خودکار برای کشف رکوردهای غیرمجاز

هشدار و واکنش:

   هرگونه تلاش برای Zone Transfer از منابع غیرمجاز باید به سرعت به تیم SOC اطلاع داده بشه
میتوان سیستم هشدار خودکار برای ترافیک DNS غیرمعمول راه‌اندازی بکنیم

https://t.me/ViperNull