[Protocol]NBNS

NetBIOS 네임 서버 프로토콜(NBNS 프로토콜)은 NBT(NetBIOS over TCP/IP)계열의 일부로 윈도우 시스템에서는 WINS(Windows Internet Name Service)로 구현되어 있습니다. 설계상으로는 NBNS는 네트워크에 연결된 다른 컴퓨터들 상호간의 이름이 충돌되지 않도록 도와 주는 역할을 하게 됩니다. 

또한, 이 프로토콜은 네트워크 인증을 받지 않도록 설계되어 있기 때문에 스푸핑(spoofing)에 노출되어 있습니다. 따라서 악의적인 사용자가 이름 충돌(Name Conflict)이나 이름 해제(Name Release) 메커니즘을 엉뚱하게 사용하게 되면 네트워크상에서 존재하는 다른 컴퓨터는 현재 등록된 이름이 다른 컴퓨터와 충돌을 야기하는 것처럼 보이는 결과를 가져올 수 있습니다. 이러한 시나리오에 따라 해당 컴퓨터는 현재 사용하고 있는 이름을 네트워크에 등록하지 못하거나 등록된 이름을 사용하지 못하게 됩니다. 두 가지 경우 모두 같은 해당 컴퓨터가 이름 충돌과 관계된 메시지에 대해서 응답하지 않는 결과를 초래합니다.

일반적인 보안 기법으로 UDP 137번 포트를 방화벽에서 막아 버리면 외부에서 공격하는 것은 불가능해집니다. 또한 이 문제에 대해 제공되는 패치는 시스템 관리자들이 네트워크 유지에 추가적인 유연성을 확보하는 방향으로 윈도우 시스템의 동작 방법을 변경하였습니다. 

패치는 관리자들이 컴퓨터의 이름 충돌과 관계된 데이터그램을 오로지 이름 등록을 시도하는 경우에만 받을 수 있도록 설정할 수 있도록 하였으며, 또한 모든 이름 해제 데이터그램을 받지 못하도록 설정할 수 있습니다. 그러나, 이것은 스푸핑을 완전히 제거하는 것은 아니며 단지 가능성을 낮추는 것 뿐입니다. 추가적인 보안 설정을 고려하고 계신 고객들은 137-139번 포트의 모든 세션을 확인하기 위하여 Windows 2000의 IPSec를 사용하는 것을 고려해 보시기 바랍니다

http://www.microsoft.com/korea/technet/security/bulletin/ms00-047.mspx

출처 : MS Technet

아래는 wireshark wiki에서 발췌한 NBNS에 대한 정의.

This service is often called WINS on Windows systems.

The NetBIOS Name Service is part of the NetBIOS-over-TCP protocol suite, see the NetBIOS page for further information.

NBNS serves much the same purpose as DNS does: translate human-readable names to IP addresses (e.g. www.wireshark.org to 65.208.228.223). (As NetBIOS can run on top of several different network protocols (e.g. IP, IPX, ...), other implementations of the NetBIOS services have their own mechanisms for translating NetBIOS names to addresses.) NBNS's services are more limited, in that NetBIOS names exist in a flat name space, rather than DNS's hierarchical one (multiple flat name spaces can exist, by using NetBIOS scopes, but those are rarely used), and NBNS can only supply IPv4 addresses; NBNS doesn't support IPv6.

With the advent of SMB-over-TCP, it is no longer necessary to have a machine's NetBIOS name in order for that machine to make connections to SMB servers or in order for SMB connections to be made to that machine, and with the advent of "dynamic DNS", a host can register its name and its IP address or addresses with a DNS server when it boots (note that its IP address might not be static - it might be granted by a DHCP server - so you can't necessarily statically register a machine's host name and IP address with a DNS server). 

Therefore, newer Windows systems, starting with Windows 2000, can use DNS for all the purposes for which NBNS was used. NBNS is still widely used especially on Windows networks, as there might still be older versions of Windows on those networks, or it might not yet have been converted to use only DNS.

WINS (Windows Internet Name Service) uses the same protocol, but unicast messages to a WINS-Server, multiple WINS servers can replicate the content with the WINS-Replication protocol.

아래는 유효한 NBNS 필터

Field name	Type	Description	Versions
nbns.count.add_rr	Unsigned integer, 2 bytes	Additional RRs	1.0.0 to 1.8.4
nbns.count.answers	Unsigned integer, 2 bytes	Answer RRs	1.0.0 to 1.8.4
nbns.count.auth_rr	Unsigned integer, 2 bytes	Authority RRs	1.0.0 to 1.8.4
nbns.count.queries	Unsigned integer, 2 bytes	Questions	1.0.0 to 1.8.4
nbns.flags	Unsigned integer, 2 bytes	Flags	1.0.0 to 1.8.4
nbns.flags.authoritative	Boolean	Authoritative	1.0.0 to 1.8.4
nbns.flags.broadcast	Boolean	Broadcast	1.0.0 to 1.8.4
nbns.flags.opcode	Unsigned integer, 2 bytes	Opcode	1.0.0 to 1.8.4
nbns.flags.rcode	Unsigned integer, 2 bytes	Reply code	1.0.0 to 1.8.4
nbns.flags.recavail	Boolean	Recursion available	1.0.0 to 1.8.4
nbns.flags.recdesired	Boolean	Recursion desired	1.0.0 to 1.8.4
nbns.flags.response	Boolean	Response	1.0.0 to 1.8.4
nbns.flags.truncated	Boolean	Truncated	1.0.0 to 1.8.4
nbns.id	Unsigned integer, 2 bytes	Transaction ID	1.0.0 to 1.8.4