Seguridad en Linux
1
Prólogo

Este texto se basa en la estructura del libro "Hacking Exposed" de Stuart McClure, Joel Scambray y George Kurtz. La decisión de basarme en esta publicación no fue que este libro contenga "recetas mágicas" para la seguridad de un sistema, sino que es el primer libro que conozco que contempla el proceso de violación de la seguridad de un sistema en forma ordenada y metódica, sugiriendo siempre mecanismos para prevenir cada uno de los pasos de la misma. Los autores hicieron un excelente trabajo al recopilar en un solo libro toda la información que puede encontrarse en textos dispersos en Internet.
El material que se utilizará en el presente curso es, a grandes rasgos, el mencionado en el libro "Hacking Exposed", pero con inclusiones de otros programas que actualmente utilizo, los cuales no fueron mencionados en el libro.
Adicionalmente he tomado información del libro "Maximum Linux Security" por Anonymous, que es una excelente publicación, si bien ligeramente desactualizada.

Bueno, como los prólogos suelen ser pesados (y poca gente los lee) no lo hago más largo.

Happy hacking!

Primer paso: Footprinting (Adquisición de Huellas)

Este paso consiste en la adquisición de información sobre el site que se desea penetrar.
Muchas veces la información que puede obtenerse de fuentes no técnicas es sorprendente, y por este motivo la obtención de información no cubre solamente el uso de herramientas informáticas, sino también publicaciones, catálogos, publicidad, etc.
Las fuentes de información que no se buscan en la red son, entre otras, las siguientes:

• Guía Telefónica
• Guía de la Industria
• Publicidad (folletos, etc.)
• Revistas (publicidad, artículos)
• Diarios (suplemento económico y otros, noticias sobre fusiones, etc.)
• Catálogos (pueden contener URLs, emails, etc.)

De estas fuentes se obtienen como mínimo la razón social de la empresa, números telefónicos y de fax, URLs y emails. También pueden obtenerse nombres de contactos en la empresa.
Toda esta información es la que iremos archivando en una carpeta rotulada con el nombre del proyecto, y que iremos actualizando con cada nueva fuente de información.

Una vez obtenido este primer paquete de información llega la hora de sentarnos a la PC, conectarnos a Internet y visitar los distintos URLs que hayamos obtenido, leyendo atentamente la información brindada por la firma. Un paso adicional será obtener el código fuente de las páginas y estudiarlo en busca de comentarios dejados por el diseñador web.
Como este proceso lleva tiempo y los costos de conexión son tiranos, es recomendable bajar las páginas para leerlas offline. Para esto podemos utilizar herramientas tanto de Linux como de Windows, por ejemplo las siguientes (la lista no es excluyente):

• Windows: Teleport Pro (www.tenmax.com)
• Linux: wget (viene con RedHat 6.2)

La primera de estas herramientas es gráfica y completamente intuitiva, además de ser una herramienta de Windows, por lo cual no la cubriremos en detalle.
La segunda, wget, es una herramienta de consola muy potente, no interactiva, por lo cual puede correr en el background mientras utilizamos la máquina para otra cosa.

Sintaxis: wget [opciones] [lista de URLs]
Esta herramienta puede trabajar bajando archivos en forma recursiva mediante el protocolo HTTP o FTP.
La sintaxis de URL utilizada es la estándar:

http://host[:puerto]/path
ftp://[username[:password]@]host/path/archivo

Normalmente no se necesitan opciones, salvo que se desee modificar el comportamiento estándar de wget. La lista de las opciones más comunes es la siguiente:

• -h help
• -v verbose
• -nv no verbose (muestra solo mensajes de error)
• -q quiet (no muestra mensajes)
• -i filename lee la lista de URLs de 'filename'
• --follow-ftp sigue links FTP desde documentos HTML
• -l depth cambia el nivel de recursividad a 'depth' (default 5)
• -r modo recursivo
• -nc no baja los archivos ya bajados (permite seguir de donde
• nos quedamos la última vez)

Para más datos sobre su utilización chequear 'man wget' e 'info wget'.
Seguramente se pueden encontrar programas para X con la misma funcionalidad, yo no uso ninguno, pero siempre se puede visitar www.linuxberg.com u otro site de software para Linux y probar suerte.

Con lo que tenemos hasta aquí ya debemos tener bastante información de base, es hora de profundizar un poco más en lo que se encuentra en Internet.
Muchas veces se encuentra información interesante en los newsgroups, pero es particularmente incómodo buscarla manualmente, sobre todo con servers que transportan decenas de miles de grupos. Para buscar información tanto en los newsgroups como en Internet en general hay herramientas especializadas de búsqueda, tanto en la web como para uso local. Una excelente herramienta para Windows es Ferret Pro (www.ferretsoft.com), que es una herramienta comercial, pero con una versión free ligeramente reducida.
También pueden utilizarse buscadores como www.metacrawler.com y otros.
Hasta no hace demasiado tiempo existía un site (www.reference.com) que permitía realizar búsquedas dentro de los grupos de news. Si bien Reference.com no está activo últimamente, existen alternativas para el mismo fin.
En los newsgroups suelen buscarse ocurrencias de "nombre de la compañía".

OK... todo lo que dije hasta acá lo puede hacer cualquiera... no sirve el curso de contraseguridad... jejeje... error ;-)

Pasemos a algo más técnico.
En Internet existen sites donde se realiza el registro de nombres de dominio, o sea donde yo registro www.soyunhacker.org y otros. El más conocido de estos sites es InterNIC, que actualmente corre en www.networksolutions.com. La información sobre nombres de dominio puede consultarse de muchas maneras, y es impresionante lo que puede averiguarse.
En linux tenemos el comando 'whois' que realiza justamente la función de consultar la base de datos de dominios de InterNIC. Veamos de qué formas podemos utilizarlo:
Consulta con el nombre de la empresa:

1. [root@linux11 /]# whois "Telefonica"
2. [whois.crsnic.net]
3. Whois Server Version 1.1
4. Domain names in the .com, .net, and .org domains can now be registeredwith many different competing registrars. Go to http://www.internic.net for detailed information.
5. TELEFONICA.ORG
6. TELEFONICA.NET
7. TELEFONICA.COM
8. To single out one record, look it up with "xxx", where xxx is one of the of the records displayed above. If the records are the same, look them up with "=xxx" to receive a full display for each record. >>> Last update of whois database: Mon, 21 Aug 00 04:36:10 EDT <<<>

Como puede observarse obtenemos información sobre los dominios registrados por compañías que contengan "Telefonica" dentro de su nombre.
Veamos un ejemplo con Telecom, para que no se sientan olvidados:

1. [root@linux11 /]# whois "Telecom"
2. [whois.crsnic.net]
3. Whois Server Version 1.1
   
   Domain names in the .com, .net, and .org domains can now be registered with many different competing registrars. Go to http://www.internic.net for detailed information.
4. TELECOM.RZS.ITESM.MX
5. TELECOM.PREVIADE.FR
6. TELECOM.MESOAMERICATELECOM.COM
7. TELECOM.INFORMATECH.COM
8. TELECOM.EXABITGROUP.COM
9. TELECOM.BUTLERMFG.ORG
10. TELECOM.BRIDGE.MASSSTATECOL.ORG
11. TELECOM.ORG
12. TELECOM.NET
13. TELECOM.COM
14. To single out one record, look it up with "xxx", where xxx is one of the of the records displayed above. If the records are the same, look them up with "=xxx" to receive a full display for each record. >>> Last update of whois database: Mon, 21 Aug 00 04:36:10 EDT <<<>

Bastante completo.
Sin embargo hay limitaciones. Una de estas está claramente indicada al pié de la solicitud whois. Aquí solamente se encuentran los dominios .com, .net, .org y .edu. No encontraremos un dominio .com.ar en InterNIC. Luego veremos cómo (y dónde) solucionar esto.

Por otra parte existe otra limitación, no demasiado obvia si utilizamos el whois de consola en Linux. Veamos qué se puede ver si utilizamos el cliente web de InterNIC (www.networksolutions.com), accedemos allí cliqueando en el link 'WHOIS Lookup'. El ejemplo buscaba 'name Carrefour' según se indica en la página para buscar por nombre de la empresa:

• Aborting search 50 records found .....
• CARREFOUR (CARMAVIE-DOM) CARMAVIE.COM
• CARREFOUR (CARREFOURJARDINS-DOM) CARREFOURJARDINS.COM
• CARREFOUR (GUIDE-HELLO2-DOM) GUIDE-HELLO.COM
• CARREFOUR (DISTRIMEUBLES-DOM) DISTRIMEUBLES.COM
• CARREFOUR (CULTURECARREFOUR-DOM) CULTURECARREFOUR.COM
• CARREFOUR (CARREFOURGROUPE3-DOM) CARREFOURGROUPE.ORG
• ... etc ... etc ...
• To single out one record, look it up with "!xxx", where xxx is the
• handle, shown in parenthesis following the name, which comes first.

El primer mensaje que aparece indica que solamente se mostrarán los primeros 50 registros encontrados... El cliente whois de consola tiene esta misma limitación.
En el caso de necesitar consultar algún nombre que aparezca más de 50 veces, debemos utilizar algo diferente al whois de InterNIC.
Por otra parte, y como ya mencionamos, no podremos encontrar dominios .com.ar en InterNIC. Deberemos consultar otra de las grandes bases de datos, la que contiene los registros para toda América: ARIN (www.arin.net).
Si lo deseamos, podemos utilizar el buscador de la página (el link 'Whois'). Sino podemos utilizar nuevamente el cliente de consola Linux, pero deberemos encerrar lo que queremos buscar entre comillas y agregar '@arin.net' o '@whois.arin.net' como se ve en el siguiente ejemplo:

1. [root@linux11 /]# whois "Ciudad"@arin.net
2. [arin.net]
3. Ciudad Internet Node (25 de Mayo City) (NETBLK-PRIMA-BLK-184) PRIMA-BLK-184200.42.12.208 - 200.42.12.223
4. Ciudad Internet Node (25 de Mayo City) (NETBLK-PRIMA-BLK-172) PRIMA-BLK-172 200.42.11.8 - 200.42.11.15
5. Ciudad Internet Node (Concepcion del Uruguay City) (NETBLK-PRIMA-BLK-244) PRIMA-BLK- 244200.42.31.192 - 200.42.31.223
6. Ciudad Internet Node (Cordoba City) (NETBLK-PRIMA-BLK-146) PRIMA-BLK-146200.42.9.0 - 200.42.9.31
7. Ciudad Internet Node (Corrientes City) (NETBLK-PRIMA-BLK-147) PRIMA-BLK-147200.42.9.32 - 200.42.9.63
8. Ciudad Internet Node (La Plata City) (NETBLK-PRIMA-BLK-150) PRIMA-BLK-150 200.42.9.128 - 200.42.9.159
9. Ciudad Internet Node (Mendoza City) (NETBLK-PRIMA-BLK-144) PRIMA-BLK-144 200.42.8.128 - 200.42.8.143
10. Ciudad Internet Node (Rafaela City) (NETBLK-PRIMA-BLK-235) PRIMA-BLK-235200.42.31.32 - 200.42.31.39
11. Ciudad Internet Node (Salta City) (NETBLK-PRIMA-BLK-153) PRIMA-BLK-153200.42.9.224 - 200.42.9.255
12. Ciudad Internet Node (San Juan City) (NETBLK-PRIMA-BLK-151) PRIMA-BLK-151 200.42.9.160 - 200.42.9.191
13. Ciudad Internet Node (Santa Fe City) (NETBLK-PRIMA-BLK-148) PRIMA-BLK-148200.42.9.64 - 200.42.9.95
14. Ciudad Internet Node (SantaFe City) (NETBLK-PRIMA-BLK-241) PRIMA-BLK-241200.42.31.112 - 200.42.31.119
15. Ciudad Internet Node (Tortuguitas City) (NETBLK-PRIMA-BLK-185) PRIMA-BLK-185 200.42.12.224 - 200.42.12.255
16. Ciudad Internet Node (Tortuguitas City) (NETBLK-PRIMA-BLK-155) PRIMA-BLK-155 200.42.10.64 - 200.42.10.127
17. Ciudad Internet Node (Tucuman City) (NETBLK-PRIMA-BLK-149) PRIMA-BLK-149200.42.9.96 - 200.42.9.127
18. Ciudad Internet Node (Ushuaia City) (NETBLK-PRIMA-BLK-152) PRIMA-BLK-152 200.42.9.192 - 200.42.9.223
19. Ciudad Virtual (NETBLK-UNRD-CVIRT) UNRD-CVIRT 200.37.204.128 - 200.37.204.159
20. Ciudad, D.F./ Foodline.com (NETBLK-IEN-C42425) IEN-C42425 64.248.39.112 - 64.248.39.119
22. To single out one record, look it up with "!xxx", where xxx is the handle, shown in parenthesis following the name, which comes first.The ARIN Registration Services Host contains ONLY Internet Network information: Networks, ASN's, and related POC's. Please use the whois server at rs.internic.net for DOMAIN related Information and whois.nic.mil for NIPRNET Information.

Los resultados si hacemos la búsqueda desde la página son idénticos.
Si se desea puede buscarse también un dominio (cuando lo conocemos de antemano), por ejemplo 'whois "ciudad.com.ar"@arin.net'
Los identificadores únicos de cada registro se listan entre paréntesis (por ejemplo en la primer línea del ejemplo anterior es NETBLK-PRIMA-BLK-184). Podemos consultar un registro único de la siguiente manera:

1. [root@linux11 /]# whois "NETBLK-PRIMA-BLK-184"@arin.net
2. [arin.net]
3. Ciudad Internet Node (25 de Mayo City) (NETBLK-PRIMA-BLK-184)
4. Calle 10 entre 28 y29
5. 25 de Mayo, Buenos Aires B6660ABC
6. AR
8. Netname: PRIMA-BLK-184
9. Netblock: 200.42.12.208 - 200.42.12.223
11. Coordinator:
12. Fernandez, Miguel (MF127-ARIN) mfdez@PRIMA.COM.AR
13. 54-1-370-0073
15. Record last updated on 14-Feb-2000. Database last updated on 21-Aug-2000 05:55:50 EDT. The ARIN Registration Services Host contains ONLY InternetNetwork Information: Networks, ASN's, and related POC's. Please use the whois server at rs.internic.net for DOMAIN related Information and whois.nic.mil for NIPRNET Information.

Lindo no?
Ahora tenemos datos sobre las direcciones IP utilizadas por ese bloque, el nombre de un contacto (más importante, su user ID de mail), teléfonos y direcciones ;-)
Adicionalmente tenemos el identificador de esa persona en la base ARIN, entre paréntesis al lado del nombre (MF127-ARIN). Veamos qué se puede obtener si se consulta sobre ese contacto (desde ya agradecemos al Sr. Miguel Fernández):

1. [root@linux11 /]# whois "MF127-ARIN"@arin.net
2. [arin.net]
3. Fernandez, Miguel (MF127-ARIN) mfdez@PRIMA.COM.AR
4. Prima S.A.
5. Lima 1261
6. Capital Federal, Buenos Aires 1138
7. AR
8. 54-1-370-0073
10. Record last updated on 10-Sep-1998.
11. Database last updated on 21-Aug-2000 05:55:50 EDT.
13. The ARIN Registration Services Host contains ONLY InternetNetwork Information: Networks, ASN's, and related POC's.Please use the whois server at rs.internic.net for DOMAIN related Information and whois.nic.mil for NIPRNET Information.

Entre otros datos, nos informa algo muy importante: cuándo fue actualizado este registro por última vez...
Una llamada telefónica pidiendo por el Sr. Miguel Fernández puede informarnos si aún trabaja en esa empresa.
Adicionalmente, si ejecutamos el whois sobre los bloques de direcciones IP obtenemos más información:

1. [root@linux11 /]# whois "200.42.12.208"@arin.net
2. [arin.net]
3. Prima S.A. (NETBLK-PRIMA-BLK-1) PRIMA-BLK-1 200.42.0.0 - 200.42.127.255
4. Ciudad Internet Node (25 de Mayo City) (NETBLK-PRIMA-BLK-184) PRIMA-BLK-184 200.42.12.208 - 200.42.12.223
5. To single out one record, look it up with "!xxx", where xxx is the handle, shown in parenthesis following the name, which comes first. The ARIN Registration Services Host contains ONLY Internet Network Information: Networks, ASN's, and related POC's. Please use the whois server at rs.internic.net for DOMAIN related Information and whois.nic.mil for NIPRNET Information.

Otros uso interesante del whois es buscar "@dominio", de la siguiente forma:

1. [root@linux11 /]# whois "@ciudad.com.ar"@arin.net
2. [arin.net]
3. Aboud, Maria (MA325-ARIN) isb@ciudad.com.ar 54-1-370-0073
4. Jen, Lin Min (LMJ2-ARIN) oceanblue@ciudad.com.ar 54-1-370-0073
5. La Palma, Oscar (OL19-ARIN) eldiachu@ciudad.com.ar 54-1-370-0073
6. Mosto, Ariel (AM447-ARIN) mediaresearch@ciudad.com.ar 54-1-370-0073
7. To single out one record, look it up with "!xxx", where xxx is the handle, shown in parenthesis following the name, which comes first. The ARIN Registration Services Host contains ONLY Internet Network Information: Networks, ASN's, and related POC's. Please use the whois server at rs.internic.net for DOMAIN related Information and whois.nic.mil for NIPRNET Information.

Más y más datos. Cada uno de ellos tiene registro en ARIN y debemos visitarlos todos.

Hay muchas herramientas para realizar esto mismo, pero el whois de consola es muy práctico. Para linux tenemos el xwhois para entorno gráfico. En Windows hay varias herramientas, pero una de las más prácticas es SolarWinds 2000, una aplicación comercial con múltiples usos (www.solarwinds.net).

Una de las informaciones que se obtienen de InterNIC pero que no nos brinda abiertamente ARIN, son las direcciones IP de los DNS que son autoritativos para el dominio en cuestión. Para obtenerlas de ARIN debemos realizar el query con las direcciones IP. Veamos por ejemplo de obtener los DNS a partir de InterNIC:

1. [root@linux11 /]# whois yenni.com
2. [whois.crsnic.net]
3. Whois Server Version 1.1
4. Domain names in the .com, .net, and .org domains can now be registeredwith many different competing registrars. Go to http://www.internic.net for detailed information.
   
5. Domain Name: YENNI.COM
6. Registrar: NETWORK SOLUTIONS, INC.
7. Whois Server: whois.networksolutions.com
8. Referral URL: www.networksolutions.com
9. Name Server: NS1.NEXUSLABS.COM
10. Name Server: NS2.NEXUSLABS.COM
11. Updated Date: 02-may-1999
12. >>> Last update of whois database: Mon, 21 Aug 00 04:36:10 EDT <<<
13. The Registry database contains ONLY .COM, .NET, .ORG, .EDU domains and Registrars.

Nótense las dos líneas 'Name Server'.

Interesante?

Contramedidas:
Veamos cuáles serían las contramedidas hasta aquí, antes de entrar al tema de interrogación de DNS.

En primer lugar tener cuidado con la información que se desparrama. Es muy importante utilizar alias para todos los emails que utilicemos con fines publicitarios (por ejemplo ventas@miempresa.com, en lugar de mdilaj@miempresa.com).

Por otra parte deben utilizarse datos genéricos al registrar un dominio. Es preferible que figure como contacto 'Admin' o 'DomainAdmin' en lugar de 'Carlitos Balá'.

El teléfono que se obtiene de las bases puede llegar a indicar en qué rango de direcciones telefónicas trabaja la empresa, lo cual puede utilizarse para buscar módems de RAS, correo remoto, etc. Ante la necesidad de utilizar módems, debemos lograr que no utilicen teléfonos en el mismo rango que los que figuran en el registro (la forma más fácil de lograr esto es utilizar un 0800 en el registro, un 0610 en los módems, o ambos). Las páginas web deben ser revisadas a nivel de código HTML, para verificar que los diseñadores no olvidaron comentarios con información comprometedora.

Puede buscarse información en Internet relacionada con las consultas whois, así como las alternativas existentes, por ejemplo www.websitez.com (cuando funciona!).

Cuando no podamos obtener los DNS directamente por algún motivo, podemos realizar una búsqueda recursiva a partir de los DNS primarios de Internet. La herramienta a utilizar se detalla en la siguiente sección (nslookup), y el proceso específico para realizar esta búsqueda (es bastante largo) está en el DNS-HOWTO, por lo cual no lo repetiremos aquí.

El siguiente paso (después de conseguir los DNS) es intentar interrogar los mismos con el comando de consola 'nslookup'.

Al ejecutarla entramos en modo interactivo:

[root@linux11 /]# nslookup
Default Server: o200.prima.com.ar
Address: 200.42.0.108

>

Estamos utilizando el DNS de nuestro proveedor. Debemos conectarnos al DNS de la empresa en cuestión:

> server 209.220.228.66
Default Server: greentea.zbros.net
Address: 209.220.228.66
Aliases: 66.228.220.209.in-addr.arpa

>

En este caso utilizo el DNS de yenni.com, veamos si me deja interrogarlo sobre el dominio:

• > ls -d yenni.com
• [greentea.zbros.net]
• $ORIGIN yenni.com.
• @30M IN SOA ns1.nexuslabs.com. charles.nexuslabs.com. (
• 2000073000 ; serial
• 6H ; refresh
• 1H ; retry
• 5w6d16h ; expiry
• 30M ) ; minimum
• 30M IN NS ns1.nexuslabs.com.
• 30M IN NS ns2.nexuslabs.com.
• 30M IN A 209.220.228.69
• 30M IN MX 100 mail.zbros.net.
• bitch 30M IN A 209.220.228.85
• staging 30M IN A 209.220.228.69
• www 30M IN A 209.220.228.69
• @ 30M IN SOA ns1.nexuslabs.com. charles.nexuslabs.com. (
• 2000073000 ; serial
• 6H ; refresh
• 1H ; retry
• 5w6d16h ; expiry
• 30M ) ; minimum
• >

El server no está adecuadamente configurado o es una versión vieja, y brinda alegremente información. Veamos si de paso puedo ver los registros DNS de nexuslabs.com (el DNS es ns1.nexuslabs.com según el whois).

• > ls -d nexuslabs.com
• [greentea.zbros.net]
• $ORIGIN nexuslabs.com.
• @ 30M IN SOA ns1 locutus (
• 2000042202 ; serial
• 6H ; refresh
• 1H ; retry
• 5w6d16h ; expiry
• 30M ) ; minimum
• 30M IN NS ns1
• 30M IN NS ns2
• 30M IN MX 100 mail
• jaywalking 30M IN A 209.220.228.86
• lists 30M IN MX 100 mail
• dhcp666 30M IN A 209.220.228.90
• fw-int 30M IN A 209.220.228.81
• fw-ext 30M IN A 209.220.228.78
• dhcp2000 30M IN A 209.220.228.91
• dhcp42 30M IN A 209.220.228.89
• swanilda 30M IN A 209.220.228.83
• pop 30M IN A 209.220.228.68
• dhcp69 30M IN A 209.220.228.88
• nospam 30M IN A 209.220.228.87
• goblin 30M IN A 209.220.228.84
• mail 30M IN A 209.220.228.68
• www 30M IN A 209.220.228.73
• paradox 30M IN A 24.11.70.21
• assault 30M IN A 209.220.228.73
• switch 30M IN A 209.220.228.92
• ns1 30M IN A 209.220.228.66
• hummer 30M IN A 209.220.228.82
• arson 30M IN A 209.220.228.78
• ns2 30M IN A 209.220.228.67
• @ 30M IN SOA ns1 locutus (
• 2000042202 ; serial
• 6H ; refresh
• 1H ; retry
• 5w6d16h ; expiry
• 30M ) ; minimum
• >

Es bueno saber que un DNS puede ser autoritativo para más de un dominio ;-)
Con todo esto tenemos las direcciones de muchas más máquinas dentro de un dominio. Un DNS realmente MAL configurado nos brindaría inclusive nombres y direcciones de las máquinas de la Intranet.
Llegados a este punto es conveniente buscar máquinas con nombres tales como 'gateway', 'proxy', 'router' y otros por el estilo, para pasar al siguiente paso.
Adicionalmente tenemos que tomar nota de los registros MX, ya que las máquinas que brindan servicio de mail suelen estar en el límite externo de la empresa (además de existir algunas implicaciones de seguridad, sobre todo con versiones viejas de sendmail).
A veces se encuentran registros HINFO. Estos registros brindan información sobre el sistema operativo de la máquina y algún otro dato.

Existen múltiples herramientas para lograr el mismo fin. Además de SolarWinds 2000 para Windows ya mencionado, existe un excelente script para consola Linux llamado axfr. Este script era originalmente parte de la minidistribución Linux Trinux (ftp.trinux.org) pero es más sencillo encontrarlo poniendo 'axfr+linux' en un buscador.

Contramedidas:

• Utilizar la última versión de BIND. En la documentación de BIND indica cómo evitar que se pueda transferir información sobre las zonas, esto viene activo por defecto en las últimas versiones.
• En caso de utilizar otro servidor DNS distinto de BIND, consultar la documentación del mismo para evitar la transferencia de zonas.

• Llegado el caso de tener un DNS con datos de las máquinas de una LAN interna jamás permitir el acceso desde Internet. Si es necesario utilizarlo para resolución de nombres por algún motivo, setear reglas de firewalling permitiendo el tráfico udp en el puerto 53 y bloqueando el tráfico tcp en el mismo puerto (las resoluciones usan udp, y las transferencias de zona tcp).

• No utilizar registros HINFO.