Advanced DNS Administration and Security Masterclass
বর্তমান ইন্টারনেটের অধিকাংশ কমিউনিকেশন ডোমেইন নেইম সিস্টেম (DNS) এর মাধ্যমে পরিচালিত হলেও সঠিক ধারণার অভাবে অনেকেই এটাকে খুব বেশি গুরুত্ব দেয় না। আমরা অনেকেই এখনো DNS বলতে শুধু নাম থেকে আইপি এবং আইপি থেকে নাম দেওয়াকেই বুঝি। অথচ DNS এর মাধ্যমেই অনেক ধরনের নিরাপত্তা নিশ্চিত করা হয়ে থাকে।
DNS এর নিরাপত্তা ত্রুটির বা ভুল কনফিগারেশনের কারণেই ঘটতে পারে নানা ধরনের সাইবার নিরাপত্তা বিপর্যয়। যেমন— ইনসিকিউর জোন ট্রান্সফার (Zone Transfer Leak), ক্যাশ পয়জনিং (Cache Poisoning), ডিডসব ডোমেইন এনুমেরেশন, ডিএনএস টানেলিং (DNS Tunneling) ইত্যাদি। এ ছাড়া আধুনিক এন্টারপ্রাইজ সিস্টেমে DNS শুধুমাত্র নেমিং সার্ভিস নয়, এটি ক্লাউড রাউটিং, সিকিউরিটি ফিল্টারিং এবং সিকিউরিটি মনিটরিং (SIEM) এর অন্যতম মূল ভিত্তি।
এই DNS সিস্টেমের আদ্যোপান্ত এবং নিরাপত্তা ব্যবস্থা নিয়ে আমাদের নতুন বুটক্যাম্প: Advanced DNS Administration and Security Masterclass। এটি সম্পূর্ণ প্র্যাকটিক্যাল এবং এন্টারপ্রাইজ-গ্রেড আর্কিটেকচারের উপর ভিত্তি করে ডিজাইন করা হয়েছে।
নিজে একজন দক্ষ Network Administrator, Security Engineer, SOC Analyst, DevOps Engineer, অথবা Infrastructure Architect হিসেবে গড়ে তুলতে চাইলে এই বুটক্যাম্পটিতে অংশ নিতে পারেন।
এই বুটক্যাম্পটি কেন সবার থেকে আলাদা?
– মাল্টি-ভেন্ডর আর্কিটেকচার (Multi-vendor design): এটি কোনো সিঙ্গেল-প্রোডাক্ট ট্রেনিং নয়। বুটক্যাম্পটিতে BIND, PowerDNS, Knot DNS, Unbound, Cloudflare, এবং AWS Route 53 নিয়ে সরাসরি কাজ করা হবে।
– সিকিউরিটি-ফার্স্ট ডিজাইন (Security-first approach): DNSSEC, TSIG, স্প্লিট-হরাইজন ভিউজ, RPZ, অ্যাটাক সিমুলেশন এবং মিটিগেশন এই সিলেবাসের অন্যতম মূল অংশ।
– ডিএনএস অবজারভেবিলিটি (DNS Observability & SIEM): রিয়েল-টাইম মনিটরিং-এর জন্য Prometheus, Grafana, ELK Stack, Graylog এবং Wazuh SIEM ইন্টিগ্রেশন প্র্যাকটিক্যালি শেখানো হবে।
– ক্লাউড এবং হাইব্রিড ডেপ্লয়মেন্ট: Cloudflare ও AWS Route 53 এর ক্লাউড ডিএনএস এবং dynamic routing-এর জন্য Anycast DNS (BGP/FRRouting) কভার করা হয়েছে।
– স্ট্রং ডায়াগনস্টিক ডিসিপ্লিন: dig, delv, drill, DNSViz, intoDNS, এবং Recon টুলস (subfinder, amass, dnsrecon) ব্যবহার করে ডিবাগিং ও ভ্যালিডেশন শেখানো হবে।
কি কি থাকছে এই বুটক্যাম্পে:
মডিউল সংখ্যা: ১৩ টি
Hands-on Labs: ২৬ টি
সময়কাল: ৩৬ ঘন্টা লাইভ সেশন (~৩ ঘন্টা প্রতি সেশন)
ক্লাস মডেল: লেকচার + হ্যান্ডস-অন ল্যাব + ভ্যালিডেশন ও প্রশ্নোত্তর
ল্যাব এনভায়রনমেন্ট: ভার্চুয়াল মেশিন বা কন্টেইনার সাপোর্ট করে এমন নিজস্ব ল্যাপটপ/ডেস্কটপ অথবা ক্লাউড স্যান্ডবক্স।
বুটক্যাম্প ফি: ৫,০০০/- (পাচ হাজার) টাকা মাত্র।
যোগাযোগ: +8801717888859 (WhatsApp)
ক্লাসের সময়ঃ শনি ও মঙ্গলবার (রাত ৯ঃ০০ টা থেকে ১২ঃ০০ টা)
মাধ্যমঃ অনলাইন (জুম)।
ইন্সট্রাক্টরঃ Md. Mahedi Hasan
রেজিস্ট্রেশনঃ https://forms.gle/6kyv4Lt2VmWtCkYf6
যোগাযোগঃ +8801717888859
বি.দ্রঃ (লাইভ ক্লাসের ভিডিও রেকর্ডিংগুলোতে YouTube-থেকে Gmail এ প্রাইভেট এক্সেস দেওয়া হবে)
Detailed Outline:
Part-1: Core DNS Architecture
| Module-1: DNS Fundamentals and Environment Setup
– DNS hierarchy, zone delegation, and query flow (Root → TLD → SLD → Authoritative). – Modern DNS server landscape (BIND, PowerDNS, Knot, Unbound, dnsdist). – Record types (A, AAAA, CNAME, MX, TXT, SRV, NS, SOA), TTL, and cache behavior. – Standard diagnostics toolkit setup. Lab-1: Environment setup and system-level OS hardening. |
Module-2: Recursive DNS Architecture and Resolvers
– Recursive resolution workflow, forwarders, and cache optimizations. – BIND resolver architecture, – Unbound recursive deployment with QNAME minimization (RFC 7816) for privacy. – PowerDNS Recursor and Knot Resolver modular architecture comparison. Labs 2–4: BIND recursive resolver, Unbound deployment, and resolver comparison. |
| Module-3: Authoritative DNS with BIND
– BIND 9 Authoritative server architecture. – Primary/secondary (Master/Slave) zone design and forward/reverse mapping. – Secure zone transfers (AXFR/IXFR) using Transaction Signatures (TSIG). – Zone validation, serial number management, and testing. Labs 5–6: BIND authoritative primary/secondary deployment and TSIG-secured validation. |
Module-4: Alternative Authoritative DNS and Hybrid Architecture
– PowerDNS Authoritative server installation, DB backend (SQLite/MySQL), and REST API. – Knot DNS authoritative deployment with automatic DNSSEC policy. – Designing a Hidden Primary (Hidden Master) layout. – Cross-vendor zone transfer workflows (e.g., BIND Master → Knot/PowerDNS Slave). Labs 7–9: PowerDNS with SQL, Knot DNS with DNSSEC, and hybrid master-slave signature validation. |
| Module-5: Cloud DNS Services
– Cloudflare: Geo-steering routing, API management, and multi-signer DNSSEC setup. – AWS Route 53: Public/private hosted zones, Route 53 Resolvers (endpoints), DNS Firewalls, and CloudWatch logging. Labs 10–11: Cloudflare DNS & DNSSEC, and AWS Route 53 dedicated lab. |
Module-6: DNS Anycast Deployment
– IP Anycast fundamentals, BGP routing, and path selection. – Anycast DNS design patterns for high availability and low latency. – Simulating Anycast using FRRouting in a local virtual environment. Lab 12: Anycast DNS simulation with FRRouting. |
Part-2: Enterprise DNS Security
| Module-7: BIND Security and Split-Horizon
– Implementing Split-horizon views for serving different DNS data to internal vs external networks. – BIND query logging, security audit logs, and database log segregation. – Restricting access using Access Control Lists (ACLs), Response Rate Limiting (RRL), and DNS Cookies. Labs 13–14: BIND Split-horizon views and logging/security configuration. |
Module-8: DNSSEC
– Cryptographic foundations: PKI, hashing, keys (KSK, ZSK), and record types (DNSKEY, RRSIG, DS, NSEC, NSEC3). – DNSSEC validation path and establishing the chain of trust. – Inline signing using BIND’s KASP (Key Architecture Policy) and automated key rollovers. Labs 15–16: DNSSEC inline signing and key rollover verification. |
| Module-9: DNS Firewall and User Privacy
– Response Policy Zones (RPZ) implementation in BIND/Unbound. – Deploying Pi-hole and AdGuard Home to block malicious domains/trackers. – Using dnsdist for query load balancing, query rewriting, and custom security filtering rules. – Encrypted transport protocols: DNS over TLS (DoT) and DNS over HTTPS (DoH). Labs 17–19: BIND RPZ blocklist, Pi-hole, and AdGuard Home with dnsdist load balancing. |
Module-10: DNS Reconnaissance and Attack Mitigation
– Passive and active reconnaissance, zone transfer (AXFR) leaks, and subdomain enumeration. – Threat scenarios: Cache Poisoning, Amplification/Reflection DDoS, DNS Tunneling, Subdomain Takeovers, and Registrar Hijacking. Labs 20–21: Defensive DNS reconnaissance and isolated attack simulation with validation. |
Part-3: Enterprise DNS Operations and SOC
| Module-11: Observability and Logging
– Collecting DNS metrics using Prometheus and visualizing with Grafana. – Centralized log shipping using Elasticsearch, Logstash, and Kibana (ELK Stack). – Query log analysis, security event alerting, and DGA anomaly detection using Graylog. Labs 22–24: Prometheus & Grafana dashboard, ELK Stack integration, and Graylog alerting. |
Module-12: Wazuh SIEM and Enterprise Capstone
– Wazuh SIEM architecture, log collection agents, and custom rule configurations. – Writing Wazuh decoders to detect DNS tunneling, zone leaks, and abnormal query rates. – Auditing DNS configurations using the KINDNS framework. Labs 25–26: Wazuh SIEM integration and Enterprise Capstone simulation. |
| Module-13: Emerging DNS Technologies and Threat Intelligence
– DNS over QUIC (DoQ) and Oblivious DoH (ODoH). – AI/ML concepts in DNS threat detection. – Mapping DNS attacks to the MITRE ATT&CK framework; DNS in Zero Trust. |
|