Beispiel-Dokumentation: DNS-Firewall und Amplification
1. Ziel
Open-Resolver-Risiko, RRL und ACLs werden als Schutzmaßnahmen beschrieben.
2. Was gemacht wird
Das Beispiel erzeugt lokale Evidence unter work/, validiert Zonendateien und prüft optionale Tool-Ausgaben, wenn DNS-Werkzeuge installiert sind.
3. Warum es gemacht wird
DNS-Fehler wirken oft wie Applikations- oder Netzwerkfehler. Nur mit RCODE, SOA, TTL, Delegation, Resolverpfad und Cache-Zustand lässt sich die Ursache belastbar bestimmen.
4. Typische Kommandos
dig example.test SOA +norecurse 2>/dev/null || true
dig www.example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
named-checkzone example.test zones/db.example.test 2>/dev/null || true
5. Erfolg prüfen
- Artefakte sind syntaktisch gültig.
- Evidence liegt unter
work/evidence/. - RCODE, RRtype und Zone sind benannt.
- TTL, Cache oder Delegation sind bei Bedarf eingeordnet.
- Keine produktiven Secrets werden verwendet.
6. Typische Fehler
- Zonendatei ohne SOA oder NS.
- CNAME mit anderen Records am selben Owner Name.
- Glue fehlt bei in-zone Nameservern.
- DNSSEC-SERVFAIL wird mit Netzwerkfehler verwechselt.
- TTL- und negative Cache-Wirkung wird unterschätzt.
7. Sicherheitsaspekte
DNS ist Infrastruktur. Fehlerhafte Resolver-ACLs, offene Transfers, unsichere Dynamic Updates oder schwache DNSSEC-Prozesse können breite Auswirkungen haben.
8. Realistischer Einsatz
Das Beispiel passt zu Provider-Changes, internen Zonen, Kubernetes DNS, Split-Horizon-Designs, Mail-DNS, Resolver-Betrieb und Incident Response.
9. Workshop-Durchführung
- Lernziel lesen.
- Artefakte öffnen.
run.shausführen.- Evidence prüfen.
- DNS-Rolle benennen.
- RCODE und RRtype erklären.
- TTL und Rollback bewerten.
- Ergebnis reviewen.
10. Review-Matrix
| Prüffeld | Erwartung |
|---|---|
| Rolle | Stub, rekursiv oder authoritative ist benannt. |
| Zone | Zone, Owner Name und RRtype sind klar. |
| Antwort | RCODE und Sections sind verstanden. |
| Betrieb | TTL, Cache und Rollback sind dokumentiert. |
| Sicherheit | Secrets und produktive Zonen sind ausgeschlossen. |
Offizielle Referenzen
- RFC 1034: https://datatracker.ietf.org/doc/html/rfc1034
- RFC 1035: https://datatracker.ietf.org/doc/html/rfc1035
- RFC 8499: https://www.rfc-editor.org/info/rfc8499/
- RFC 6891 EDNS(0): https://datatracker.ietf.org/doc/html/rfc6891
- RFC 4033 DNSSEC: https://datatracker.ietf.org/doc/html/rfc4033
- RFC 9364 DNSSEC BCP: https://www.rfc-editor.org/info/rfc9364/
- ISC BIND 9 Documentation: https://bind9.readthedocs.io/
- CoreDNS Documentation: https://coredns.io/manual/toc/
Beispielanhang: Evidence, Betrieb und Transfer
Dieser Zusatzteil macht das Beispiel als Trainingsbaustein vollständig. Er beschreibt, wie aus einem lokalen DNS-Modell eine belastbare Analyse entsteht, ohne produktive Domains oder Provider-Zugänge zu berühren.
B.1 Scope bestimmen
Scope bestimmen ist notwendig, weil DNS-Fehler oft erst durch die Kombination aus Zone, Resolverpfad, Cache und Transport erklärbar werden. Die Bewertung muss klar sagen, ob ein Artefakt nur erklärt, lokal prüft oder auf einer echten Zone angewendet würde.
| Frage | Erwartung |
|---|---|
| Was ist betroffen? | Stub, Resolver, authoritative Server, Zone, Delegation, Cache, DNSSEC oder Transport ist genannt. |
| Was ist belegt? | Eine Datei oder Ausgabe unter work/evidence/ zeigt den Befund. |
| Was bleibt offen? | Voraussetzungen für echte Zonen oder Provider sind als Grenze dokumentiert. |
Reviewpunkte:
- keine produktiven Zonen
- keine echten TSIG- oder DNSSEC-Schlüssel
- keine Provider-API-Tokens
- keine ungeprüften TTL- oder Delegationsänderungen
- Cleanup durch Entfernen von
work/möglich
B.2 Artefakte validieren
Artefakte validieren ist notwendig, weil DNS-Fehler oft erst durch die Kombination aus Zone, Resolverpfad, Cache und Transport erklärbar werden. Die Bewertung muss klar sagen, ob ein Artefakt nur erklärt, lokal prüft oder auf einer echten Zone angewendet würde.
| Frage | Erwartung |
|---|---|
| Was ist betroffen? | Stub, Resolver, authoritative Server, Zone, Delegation, Cache, DNSSEC oder Transport ist genannt. |
| Was ist belegt? | Eine Datei oder Ausgabe unter work/evidence/ zeigt den Befund. |
| Was bleibt offen? | Voraussetzungen für echte Zonen oder Provider sind als Grenze dokumentiert. |
Reviewpunkte:
- keine produktiven Zonen
- keine echten TSIG- oder DNSSEC-Schlüssel
- keine Provider-API-Tokens
- keine ungeprüften TTL- oder Delegationsänderungen
- Cleanup durch Entfernen von
work/möglich
B.3 DNS-Rolle benennen
DNS-Rolle benennen ist notwendig, weil DNS-Fehler oft erst durch die Kombination aus Zone, Resolverpfad, Cache und Transport erklärbar werden. Die Bewertung muss klar sagen, ob ein Artefakt nur erklärt, lokal prüft oder auf einer echten Zone angewendet würde.
| Frage | Erwartung |
|---|---|
| Was ist betroffen? | Stub, Resolver, authoritative Server, Zone, Delegation, Cache, DNSSEC oder Transport ist genannt. |
| Was ist belegt? | Eine Datei oder Ausgabe unter work/evidence/ zeigt den Befund. |
| Was bleibt offen? | Voraussetzungen für echte Zonen oder Provider sind als Grenze dokumentiert. |
Reviewpunkte:
- keine produktiven Zonen
- keine echten TSIG- oder DNSSEC-Schlüssel
- keine Provider-API-Tokens
- keine ungeprüften TTL- oder Delegationsänderungen
- Cleanup durch Entfernen von
work/möglich
B.4 RCODE interpretieren
RCODE interpretieren ist notwendig, weil DNS-Fehler oft erst durch die Kombination aus Zone, Resolverpfad, Cache und Transport erklärbar werden. Die Bewertung muss klar sagen, ob ein Artefakt nur erklärt, lokal prüft oder auf einer echten Zone angewendet würde.
| Frage | Erwartung |
|---|---|
| Was ist betroffen? | Stub, Resolver, authoritative Server, Zone, Delegation, Cache, DNSSEC oder Transport ist genannt. |
| Was ist belegt? | Eine Datei oder Ausgabe unter work/evidence/ zeigt den Befund. |
| Was bleibt offen? | Voraussetzungen für echte Zonen oder Provider sind als Grenze dokumentiert. |
Reviewpunkte:
- keine produktiven Zonen
- keine echten TSIG- oder DNSSEC-Schlüssel
- keine Provider-API-Tokens
- keine ungeprüften TTL- oder Delegationsänderungen
- Cleanup durch Entfernen von
work/möglich
B.5 TTL bewerten
TTL bewerten ist notwendig, weil DNS-Fehler oft erst durch die Kombination aus Zone, Resolverpfad, Cache und Transport erklärbar werden. Die Bewertung muss klar sagen, ob ein Artefakt nur erklärt, lokal prüft oder auf einer echten Zone angewendet würde.
| Frage | Erwartung |
|---|---|
| Was ist betroffen? | Stub, Resolver, authoritative Server, Zone, Delegation, Cache, DNSSEC oder Transport ist genannt. |
| Was ist belegt? | Eine Datei oder Ausgabe unter work/evidence/ zeigt den Befund. |
| Was bleibt offen? | Voraussetzungen für echte Zonen oder Provider sind als Grenze dokumentiert. |
Reviewpunkte:
- keine produktiven Zonen
- keine echten TSIG- oder DNSSEC-Schlüssel
- keine Provider-API-Tokens
- keine ungeprüften TTL- oder Delegationsänderungen
- Cleanup durch Entfernen von
work/möglich
B.6 Delegation prüfen
Delegation prüfen ist notwendig, weil DNS-Fehler oft erst durch die Kombination aus Zone, Resolverpfad, Cache und Transport erklärbar werden. Die Bewertung muss klar sagen, ob ein Artefakt nur erklärt, lokal prüft oder auf einer echten Zone angewendet würde.
| Frage | Erwartung |
|---|---|
| Was ist betroffen? | Stub, Resolver, authoritative Server, Zone, Delegation, Cache, DNSSEC oder Transport ist genannt. |
| Was ist belegt? | Eine Datei oder Ausgabe unter work/evidence/ zeigt den Befund. |
| Was bleibt offen? | Voraussetzungen für echte Zonen oder Provider sind als Grenze dokumentiert. |
Reviewpunkte:
- keine produktiven Zonen
- keine echten TSIG- oder DNSSEC-Schlüssel
- keine Provider-API-Tokens
- keine ungeprüften TTL- oder Delegationsänderungen
- Cleanup durch Entfernen von
work/möglich
B.7 Security-Grenzen festhalten
Security-Grenzen festhalten ist notwendig, weil DNS-Fehler oft erst durch die Kombination aus Zone, Resolverpfad, Cache und Transport erklärbar werden. Die Bewertung muss klar sagen, ob ein Artefakt nur erklärt, lokal prüft oder auf einer echten Zone angewendet würde.
| Frage | Erwartung |
|---|---|
| Was ist betroffen? | Stub, Resolver, authoritative Server, Zone, Delegation, Cache, DNSSEC oder Transport ist genannt. |
| Was ist belegt? | Eine Datei oder Ausgabe unter work/evidence/ zeigt den Befund. |
| Was bleibt offen? | Voraussetzungen für echte Zonen oder Provider sind als Grenze dokumentiert. |
Reviewpunkte:
- keine produktiven Zonen
- keine echten TSIG- oder DNSSEC-Schlüssel
- keine Provider-API-Tokens
- keine ungeprüften TTL- oder Delegationsänderungen
- Cleanup durch Entfernen von
work/möglich
B.8 Rollback formulieren
Rollback formulieren ist notwendig, weil DNS-Fehler oft erst durch die Kombination aus Zone, Resolverpfad, Cache und Transport erklärbar werden. Die Bewertung muss klar sagen, ob ein Artefakt nur erklärt, lokal prüft oder auf einer echten Zone angewendet würde.
| Frage | Erwartung |
|---|---|
| Was ist betroffen? | Stub, Resolver, authoritative Server, Zone, Delegation, Cache, DNSSEC oder Transport ist genannt. |
| Was ist belegt? | Eine Datei oder Ausgabe unter work/evidence/ zeigt den Befund. |
| Was bleibt offen? | Voraussetzungen für echte Zonen oder Provider sind als Grenze dokumentiert. |
Reviewpunkte:
- keine produktiven Zonen
- keine echten TSIG- oder DNSSEC-Schlüssel
- keine Provider-API-Tokens
- keine ungeprüften TTL- oder Delegationsänderungen
- Cleanup durch Entfernen von
work/möglich
B.9 Evidence bereinigen
Evidence bereinigen ist notwendig, weil DNS-Fehler oft erst durch die Kombination aus Zone, Resolverpfad, Cache und Transport erklärbar werden. Die Bewertung muss klar sagen, ob ein Artefakt nur erklärt, lokal prüft oder auf einer echten Zone angewendet würde.
| Frage | Erwartung |
|---|---|
| Was ist betroffen? | Stub, Resolver, authoritative Server, Zone, Delegation, Cache, DNSSEC oder Transport ist genannt. |
| Was ist belegt? | Eine Datei oder Ausgabe unter work/evidence/ zeigt den Befund. |
| Was bleibt offen? | Voraussetzungen für echte Zonen oder Provider sind als Grenze dokumentiert. |
Reviewpunkte:
- keine produktiven Zonen
- keine echten TSIG- oder DNSSEC-Schlüssel
- keine Provider-API-Tokens
- keine ungeprüften TTL- oder Delegationsänderungen
- Cleanup durch Entfernen von
work/möglich
B.10 Cleanup durchführen
Cleanup durchführen ist notwendig, weil DNS-Fehler oft erst durch die Kombination aus Zone, Resolverpfad, Cache und Transport erklärbar werden. Die Bewertung muss klar sagen, ob ein Artefakt nur erklärt, lokal prüft oder auf einer echten Zone angewendet würde.
| Frage | Erwartung |
|---|---|
| Was ist betroffen? | Stub, Resolver, authoritative Server, Zone, Delegation, Cache, DNSSEC oder Transport ist genannt. |
| Was ist belegt? | Eine Datei oder Ausgabe unter work/evidence/ zeigt den Befund. |
| Was bleibt offen? | Voraussetzungen für echte Zonen oder Provider sind als Grenze dokumentiert. |
Reviewpunkte:
- keine produktiven Zonen
- keine echten TSIG- oder DNSSEC-Schlüssel
- keine Provider-API-Tokens
- keine ungeprüften TTL- oder Delegationsänderungen
- Cleanup durch Entfernen von
work/möglich
B.11 Abschluss
Ein Beispiel ist abgeschlossen, wenn das Skript erfolgreich läuft, alle Artefakte syntaktisch gültig sind, die DNS-Rolle benannt ist und die Evidence keine vertraulichen Daten enthält.