開機就持續連DNS1、2並參雜外國IP

dns 中毒網路癱瘓

逢摸必爆MIS 2020-12-31 20:12:31 ‧ 2690 瀏覽

各位學長學姊好久不見
樓下新增個懶人包
想詢問一下目前我手上有一間學校
大致的網路環境是在地ISP -> 80C WAN-> 縣網 -> 略
80C WAN-> 學術網路 -> ZXCEL L2 SWITCH -> 辦公室、伺服器
80C LAN-> (1)DLINK L2 SWITCH -> 電腦教室電腦
-> (堆疊2)DLINK L2 SWITCH -> 電腦教室電腦
應該是當初派送的時候一併把病毒給派送整間電腦教室了
只要該電腦教室上課全部電腦一開機
全校網路就被電腦教室的瘋狂連線DNS給搞癱瘓
即使我透過80C將DNS流量管控在3M內就會造成電腦教室某些電腦會突然無法上網顯示找不到DNS位址自己猜測是自己連線的DNS造成網路癱瘓
雖然我不確定我防火牆的規則是否設置正確
80C新建流量管控規則DNS 上限3072 並在防火牆規則新增一條ANY至ANY的DNS服務並套用此流量管制規則排序在第一筆

詢問了同事表示說他之前遇過就是中毒但是是綁在系統檔內無法完全清除只能重灌
我用內建掃描則是掃不到毒因為時間與環境因素無法使用其餘掃毒則先作罷
dism /online /cleanup-image /scanhealth則是顯示有元件可以修復
restorehealth則表示需要使用source修復礙於時間與環境則先跳過雖然這只是死馬當活馬醫

網路上查找相關資料
通常都是DNS被當跳板與DNS主機相關問題找不到相關資訊
目前我也是懷疑中毒畢竟中間參雜一些北京美國等等IP

目前打算將電腦教室電腦重灌重新派送解決
但麻煩的是有觀察到有其他行政電腦也有DNS大量連線的資訊
想詢問關於此問題是否是中毒問題以及是否有辦法掃毒解決

01/04
補充說明一下:
電腦的DNS都是設定168.95.1.1跟8.8.8.8
有更改縣網的DNS後改瘋狂連線縣網DNS 現場環境無DNS SERVER

順便上個懶人包:

電腦教室開機後防火牆流量直接飆到滿(100M) 查看電腦教室IP的連線都是整排的8.8.8.8 168.192.1.1(電腦設定的DNS 更改DNS設定後也會一起變動)
現場環境無DNS SERVER

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

3 個回答

mytiny

iT邦超人 1 級 ‧ 2021-01-04 12:15:29

最佳解答

應該是當初派送的時候一併把病毒給派送整間電腦教室了
只要該電腦教室上課全部電腦一開機
全校網路就被電腦教室的瘋狂連線DNS給搞癱瘓

所謂網路癱瘓是指哪裡癱瘓?
如果樓主描述的真是主要原因
那就一定要把電腦教室處理好才能解決

不過按現在情況看起來
如果80C指的是Fortigate-80C，未免也太舊了吧
同時那個網路架構也很厲害
猜測電腦教室都是用虛擬IP，而辦公室、伺服器則是用真實IP
如果真是這樣，
樓主的防火牆既沒有開啟防毒也沒有IPS防護功能
資安防護未免也太瞎了吧

"暫時"解決網路停擺的方法：
建議在防火牆政策上暫時做限制
例如：電腦教室的DNS服務限制只能去ISP線路，
且只提供168.95.1.1跟8.8.8.8兩個IP位置
政策放在最前面，不限流量但限制session數
但可能網頁會變慢，或需多開幾次
至於行政辦公及伺服器
DNS禁止走ISP，只能走TANET
沒多就資安通報就會通知學校哪台有問題
四小時內去清除威脅並回報就好

這種網路架構會看了令人很傷心
拼拼湊湊、疊層架屋，都沒有好好規劃
也不知學校預算這麼不重視資安都拿去買什麼了