Como impedir a poluição do cache DNS

A poluição do cache DNS pode ocorrer se uma "falsificação" do DNS (Sistema de nomes de domínios) for encontrada. O termo "falsificação" descreve o envio de dados não seguros em resposta a uma consulta DNS. Pode ser usado para redirecionar consultas a um servidor DNS invasor e pode ser mal-intencionado por natureza.

Observação Se um servidor DNS tiver sido configurado para encaminhar solicitações de resolução para outro servidor, estabelecendo um relacionamento filho-pai, o servidor DNS filho poderá ainda estar vulnerável aos ataques de poluição do cache DNS realizados contra um servidor DNS pai, se esse servidor não estiver realizando a proteção contra poluição do cache DNS. Por padrão, os servidores DNS da Microsoft, usando o Windows 2000 Service Pack 3 ou mais recente e agindo como um pai em um relacionamento filho-pai, realizarão a proteção completa de poluição de cache. Portanto, verifique se todos os servidores DNS em uma organização possuem a proteção contra poluição do cache DNS ativada.

AVISO: O uso incorreto do Editor do Registro pode causar sérios problemas que talvez exijam a reinstalação do sistema operacional. A Microsoft não garante que os problemas resultantes do uso incorreto do Editor do Registro possam ser solucionados. O uso do Editor do Registro é de sua responsabilidade.

Windows NT 4.0

Com o Windows NT 4.0 Service Pack 4 (SP4) ou mais recente, um servidor DNS com Windows NT pode filtrar as respostas para esses registros não seguros.

Para ativar esse recurso:

1. Inicie o Editor do Registro (Regedt32.exe).
2. Localize a seguinte chave no Registro:
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DNS\Parameters
3. No menu Editar, clique em Adicionar valor e adicione o seguinte valor do Registro:
   Nome do valor: SecureResponses
   Tipo de dados: REG_DWORD
   Valor: 1 (Para eliminar dados não seguros)
4. Feche o Editor do Registro.

Por padrão, essa chave não existe e os dados não seguros não são eliminados das respostas.

Para obter informações adicionais, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft:

Windows 2000

Um servidor DNS com Windows 2000 pode filtrar as respostas para esses registros não seguros.

Para ativar esse recurso:

1. Inicie o Editor do Registro (Regedt32.exe).
2. Localize a seguinte chave no Registro:
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DNS\Parameters
3. No menu Editar, clique em Adicionar valor e adicione o seguinte valor do Registro:
   Nome do valor: SecureResponses
   Tipo de dados: REG_DWORD
   Valor: 1 (Para eliminar dados não seguros)
4. Feche o Editor do Registro.

Por padrão, no Windows 2000 Service Pack 1 (SP1) e no Windows 2000 Service Pack 2 (SP2), essa chave não existe e os dados não seguros não são eliminados das respostas. Apesar da proteção contra poluição do cache DNS estar ativada por padrão no Windows 2000 SP3 e mais recente, a chave do Registro não existe e não é necessária. A única razão para criar essa chave do Registro é desativar a proteção contra poluição do cache DNS. Para obter informações adicionais sobre a proteção contra poluição do cache DNS, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft:

Observação No Windows 2000, é possível realizar a mesma entrada no GUI. Execute essas seguintes etapas para fazer isso:

1. Abra o Console de gerenciamento DNS clicando em Iniciar, Programas, Ferramentas administrativas e em DNS.
2. Clique com o botão direito do mouse no nome do servidor no painel da janela à esquerda.
3. Escolha Propriedades.
4. Escolha na guia Avançadas.
5. Marque a caixa "Proteger cache contra poluição".

Windows 2003

A proteção do cache DNS contra poluição está ativada por padrão no Microsoft Windows 2003.

Para exibir as configurações de poluição do cache DNS, execute as seguintes etapas:

1. Abra o Console de gerenciamento DNS clicando em Iniciar, Programas, Ferramentas administrativas e em DNS.
2. Clique com o botão direito do mouse no nome do servidor no painel da janela à esquerda.
3. Escolha Propriedades.
4. Escolha na guia Avançadas.
5. Verifique se a caixa de seleção "Proteger cache contra poluição" está marcada.

Observação No Windows 2003 DNS, a configuração da chave do Registro não existe, no entanto, a configuração é ativada no GUI por padrão. Também é possível verificar a configuração atual executando o seguinte comando em um prompt de comando: Dnscmd /Info /SecureResponses