Πριν ένας υπολογιστής συνδεθεί σε ένα website ή σε πολλές άλλες υπηρεσίες του Internet, συνήθως χρειάζεται να μετατρέψει ένα όνομα όπως example.com στην αντίστοιχη διεύθυνση IP. Αυτή είναι μία από τις βασικές λειτουργίες του Domain Name System (DNS).
Η ίδια διαδικασία μπορεί να χρησιμοποιηθεί και ως σημείο ελέγχου ασφάλειας. Ένα Protective DNS (PDNS) μπορεί να εμποδίσει την επίλυση domains που έχουν αναγνωριστεί ως κακόβουλα, περιορίζοντας την πιθανότητα μια εταιρική συσκευή να επικοινωνήσει με γνωστό phishing site, malware infrastructure ή command-and-control server.
Δεν αντικαθιστά το firewall, την προστασία endpoints ή το secure web filtering. Αποτελεί ένα επιπλέον επίπεδο άμυνας που μπορεί ταυτόχρονα να προσφέρει χρήσιμη ορατότητα στη δραστηριότητα του εταιρικού δικτύου.
Τι είναι το DNS;
Οι εφαρμογές χρησιμοποιούν domain names επειδή είναι πολύ ευκολότερο για έναν άνθρωπο να θυμάται ένα όνομα από μια διεύθυνση IP. Για να πραγματοποιηθεί όμως η σύνδεση, συνήθως χρειάζεται πρώτα να βρεθεί η κατάλληλη DNS πληροφορία.
Ένας recursive DNS resolver αναλαμβάνει να βρει την απάντηση στο DNS query του client. Η λειτουργία αυτή είναι διαφορετική από το authoritative DNS, το οποίο φιλοξενεί τις επίσημες DNS πληροφορίες ενός domain.
Η διάκριση είναι σημαντική: όταν μιλάμε για Protective DNS σε αυτόν τον οδηγό, αναφερόμαστε κυρίως στην προστασία που παρέχεται κατά τη διαδικασία της recursive DNS resolution και όχι στη διαχείριση των DNS records του εταιρικού domain.
Τι είναι το Protective DNS;
Το Protective DNS είναι μια υπηρεσία DNS resolution που εφαρμόζει security policies στα DNS queries. Αν μια εταιρική συσκευή ζητήσει πληροφορίες για ένα domain που η υπηρεσία θεωρεί κακόβουλο σύμφωνα με τις διαθέσιμες πηγές και πολιτικές της, ο resolver μπορεί να τροποποιήσει ή να αρνηθεί την κανονική απάντηση ώστε να εμποδίσει τη σύνδεση.
Το UK National Cyber Security Centre περιγράφει το Protective DNS ως μηχανισμό που μπορεί να αποτρέπει την πρόσβαση σε κακόβουλα domains και να βοηθά στον εντοπισμό σχετικής δραστηριότητας.
Ανάλογα με την υπηρεσία και τη διαμόρφωση, ένα blocked request μπορεί να οδηγεί σε διαφορετική συμπεριφορά, όπως επιστροφή NXDOMAIN, redirect προς κατάλληλο block mechanism ή άλλη ελεγχόμενη DNS response.
Τι μπορεί να μπλοκάρει;
Ένα PDNS μπορεί να χρησιμοποιεί threat intelligence και policies για να αναγνωρίζει domains που συνδέονται με διαφορετικές κατηγορίες απειλών. Ενδεικτικά μπορεί να περιλαμβάνονται:
- domains που χρησιμοποιούνται για phishing,
- υποδομές διανομής malware,
- command-and-control domains μέσω των οποίων malware επικοινωνεί με υποδομή επιτιθέμενου,
- domains που έχουν συσχετιστεί με άλλες γνωστές κακόβουλες δραστηριότητες.
Οι ακριβείς κατηγορίες, οι πηγές threat intelligence και οι τεχνικές εντοπισμού διαφέρουν ανά provider. Για αυτό η επιλογή υπηρεσίας δεν πρέπει να βασίζεται μόνο στην υπόσχεση ότι «μπλοκάρει κακόβουλα sites».
Παράδειγμα: Τι συμβαίνει όταν ένας χρήστης ανοίξει κακόβουλο link;
Ας υποθέσουμε ότι ένας εργαζόμενος λαμβάνει ένα phishing email και πατά έναν σύνδεσμο προς ένα domain που έχει ήδη αναγνωριστεί ως κακόβουλο.
- Η συσκευή ζητά από τον configured DNS resolver να επιλύσει το domain.
- Το Protective DNS αξιολογεί το request σύμφωνα με τα διαθέσιμα threat data και τις εφαρμοζόμενες policies.
- Αν το domain βρίσκεται σε κατηγορία που πρέπει να αποκλειστεί, ο resolver δεν επιστρέφει την κανονική απάντηση που θα επέτρεπε τη συνηθισμένη σύνδεση.
- Ανάλογα με την υπηρεσία, δημιουργείται επίσης log ή security event που μπορεί να αξιοποιηθεί για monitoring και investigation.
Αυτό προσθέτει ένα εμπόδιο ακόμη και όταν ο χρήστης έκανε ήδη το λάθος να πατήσει τον σύνδεσμο. Δεν αποτελεί όμως εγγύηση ότι κάθε phishing ή malware domain θα αναγνωριστεί εγκαίρως.
Γιατί δεν μπλοκάρει κάθε επίθεση;
Το Protective DNS πρέπει να αντιμετωπίζεται ως defense-in-depth control και όχι ως πλήρης λύση προστασίας.
Ένα νέο κακόβουλο domain μπορεί να μην έχει ακόμη αναγνωριστεί από τις πηγές που χρησιμοποιεί ο provider. Επιπλέον, δεν εξαρτάται κάθε επίθεση από ένα DNS query που μπορεί να ελεγχθεί από το συγκεκριμένο PDNS.
Το PDNS επίσης δεν επιθεωρεί από μόνο του όλο το περιεχόμενο μιας web session, δεν διορθώνει ευπάθειες εφαρμογών και δεν εμποδίζει όλες τις μορφές credential theft ή κακόβουλης συμπεριφοράς.
Για αυτό πρέπει να συνδυάζεται με controls όπως endpoint protection, ασφαλές authentication, patching, firewall policies και κατάλληλη προστασία web και email. Για το ευρύτερο πλαίσιο δείτε τον οδηγό ασφάλειας δικτύου για μικρές και μεσαίες επιχειρήσεις.
Protective DNS και Firewall: Ποια είναι η διαφορά;
Τα δύο controls λειτουργούν σε διαφορετικά σημεία και δεν πρέπει να θεωρούνται εναλλακτικές λύσεις.
Το Protective DNS μπορεί να εφαρμόσει policy όταν μια συσκευή ζητά την επίλυση ενός domain. Ένα firewall ελέγχει τη δικτυακή επικοινωνία σύμφωνα με τους κανόνες και τις δυνατότητές του.
Σε μια layered αρχιτεκτονική μπορούν να λειτουργούν συμπληρωματικά: το PDNS μπορεί να εμποδίζει την επίλυση γνωστών κακόβουλων domains, ενώ το firewall εφαρμόζει τους κατάλληλους network access controls.
Protective DNS και Secure Web Gateway
Υπάρχει επίσης επικάλυψη με ορισμένες δυνατότητες ενός Secure Web Gateway, αλλά οι δύο έννοιες δεν είναι ταυτόσημες.
Το PDNS βασίζεται στο DNS ως enforcement point. Ένα Secure Web Gateway μπορεί, ανάλογα με την αρχιτεκτονική και το προϊόν, να εφαρμόζει ευρύτερους ελέγχους στη web πρόσβαση και να αξιολογεί περισσότερα στοιχεία μιας web session.
Η κατάλληλη λύση εξαρτάται από τις ανάγκες, τις συσκευές, το μοντέλο εργασίας και την υπάρχουσα υποδομή της επιχείρησης. Περισσότερα για το δεύτερο επίπεδο προστασίας υπάρχουν στον οδηγό Browser Security και Secure Web Gateway.
Γιατί τα DNS Logs είναι σημαντικά;
Η αξία του Protective DNS δεν περιορίζεται στο blocking. Τα DNS events μπορούν να αποτελέσουν χρήσιμη πηγή ορατότητας.
Για παράδειγμα, αν ένας εταιρικός υπολογιστής προσπαθεί επανειλημμένα να επιλύσει ένα γνωστό command-and-control domain, το block μπορεί να περιορίζει την επικοινωνία αλλά ταυτόχρονα να αποτελεί ένδειξη ότι η συσκευή χρειάζεται διερεύνηση.
Τα κατάλληλα DNS logs μπορούν να ενσωματώνονται στη συνολική διαδικασία monitoring ή, όπου υπάρχει, σε SIEM. Η συλλογή τους πρέπει να συνοδεύεται από κατάλληλο retention, access control και διαδικασία διερεύνησης των σημαντικών alerts.
Για το πώς συνδυάζονται τέτοια δεδομένα με άλλες πηγές ορατότητας, δείτε τον οδηγό για τον εντοπισμό κακόβουλης κίνησης στο εταιρικό δίκτυο.
Τι γίνεται με τους εργαζομένους εκτός γραφείου;
Μια συχνή αδυναμία ενός DNS security deployment εμφανίζεται όταν η προστασία εφαρμόζεται μόνο στο εταιρικό δίκτυο.
Ένας φορητός υπολογιστής μπορεί να χρησιμοποιείται από το σπίτι, σε ξενοδοχείο ή σε άλλο εξωτερικό δίκτυο. Αν τότε χρησιμοποιεί διαφορετικό DNS resolver, η εταιρική PDNS policy μπορεί να μην εφαρμόζεται.
Για αυτό πρέπει να εξετάζεται πώς προστατεύονται οι managed συσκευές όταν βρίσκονται εκτός του εταιρικού δικτύου. Ανάλογα με τη λύση, αυτό μπορεί να υλοποιείται μέσω endpoint agent, VPN, device configuration ή άλλου υποστηριζόμενου μηχανισμού.
Encrypted DNS: Τι αλλάζουν DoH και DoT;
Τα DNS over HTTPS (DoH) και DNS over TLS (DoT) μπορούν να προστατεύουν τη μεταφορά DNS queries μεταξύ client και resolver από παθητική παρακολούθηση ή αλλοίωση στη συγκεκριμένη διαδρομή. Η χρήση encrypted DNS όμως χρειάζεται να εντάσσεται στην εταιρική αρχιτεκτονική και όχι να αντιμετωπίζεται απομονωμένα.
Αν μια συσκευή ή εφαρμογή παρακάμπτει τον εγκεκριμένο εταιρικό resolver και στέλνει DNS requests σε διαφορετική υπηρεσία, μπορεί να παρακάμψει και την αντίστοιχη PDNS policy ή DNS visibility.
Το NIST SP 800-81 Rev. 3 καλύπτει τόσο το encrypted DNS όσο και την ασφαλή χρήση recursive DNS στο πλαίσιο σύγχρονης enterprise αρχιτεκτονικής.
Η επιχείρηση επομένως χρειάζεται ελεγχόμενη πολιτική για το ποιοι resolvers χρησιμοποιούνται και πώς διαχειρίζεται τις εφαρμογές ή συσκευές που μπορούν να χρησιμοποιούν encrypted DNS.
Protective DNS και DNSSEC δεν είναι το ίδιο πράγμα
Οι δύο τεχνολογίες αντιμετωπίζουν διαφορετικό πρόβλημα.
Το DNSSEC χρησιμοποιεί ψηφιακές υπογραφές ώστε ένας validating resolver να μπορεί να επαληθεύσει την αυθεντικότητα και ακεραιότητα κατάλληλα υπογεγραμμένων DNS δεδομένων. Δεν αποτελεί από μόνο του μηχανισμό που αποφασίζει αν ένα domain είναι phishing ή malware domain.
Το Protective DNS, αντίθετα, εφαρμόζει security policy στην DNS resolution για να περιορίζει την πρόσβαση σε domains που έχουν χαρακτηριστεί κακόβουλα ή ανεπιθύμητα σύμφωνα με την εφαρμοζόμενη πολιτική.
Μια υπηρεσία Protective DNS πρέπει να αξιολογείται και ως προς τη σωστή υποστήριξη των DNS protocol features που χρειάζεται η επιχείρηση.
Τι πρέπει να ελέγξετε πριν επιλέξετε υπηρεσία Protective DNS;
Η οδηγία της NSA για την επιλογή Protective DNS service επισημαίνει ότι η αξιολόγηση πρέπει να εξετάζει τις πραγματικές δυνατότητες και απαιτήσεις της υπηρεσίας και όχι μόνο το βασικό DNS blocking.
Για μια ΜΜΕ, ένα πρακτικό evaluation μπορεί να περιλαμβάνει:
- Threat intelligence: από πού προέρχονται τα δεδομένα που χρησιμοποιούνται για τον εντοπισμό κακόβουλων domains και πόσο γρήγορα ενημερώνονται;
- Policy controls: μπορείτε να διαχειρίζεστε κατάλληλα allow και deny policies;
- Logging: ποια DNS και security events καταγράφονται και για πόσο χρόνο;
- Remote users: μπορεί η προστασία να ακολουθεί managed συσκευές εκτός γραφείου;
- Encrypted DNS: πώς υποστηρίζονται και ελέγχονται DoH, DoT ή άλλοι απαιτούμενοι DNS μηχανισμοί;
- DNSSEC: παρέχεται η κατάλληλη validation και protocol support για τις ανάγκες του περιβάλλοντος;
- Integrations: μπορούν τα σημαντικά events να αξιοποιηθούν από το υπάρχον monitoring ή SIEM;
- Availability: ποια αρχιτεκτονική και μηχανισμοί ανθεκτικότητας υπάρχουν, δεδομένου ότι η DNS resolution είναι κρίσιμη για πολλές εταιρικές υπηρεσίες;
- Privacy: ποια DNS δεδομένα συλλέγει ο provider, πώς χρησιμοποιούνται και ποια είναι η πολιτική retention;
- Administration: πώς προστατεύονται οι administrative λογαριασμοί και οι αλλαγές πολιτικής;
Τι μπορεί να πάει λάθος σε ένα PDNS Deployment;
Μια καλή υπηρεσία δεν αρκεί αν η υλοποίηση επιτρέπει εύκολη παράκαμψη ή προκαλεί επιχειρησιακά προβλήματα.
Συχνά σημεία που χρειάζονται έλεγχο είναι:
- συσκευές που συνεχίζουν να χρησιμοποιούν μη εγκεκριμένους DNS resolvers,
- εφαρμογές που χρησιμοποιούν δικό τους encrypted DNS χωρίς να ακολουθούν την εταιρική πολιτική,
- remote endpoints που χάνουν την προστασία εκτός εταιρικού δικτύου,
- υπερβολικά ευρείες allow lists που αποδυναμώνουν το filtering,
- false positives χωρίς οργανωμένη διαδικασία ελέγχου και εξαίρεσης,
- logs που συλλέγονται αλλά κανείς δεν εξετάζει,
- έλλειψη σχεδίου για DNS availability ή προβλήματα στον provider.
Πριν από γενικευμένο rollout είναι προτιμότερο να ελεγχθεί η λύση σε αντιπροσωπευτικό μέρος του περιβάλλοντος και να επιβεβαιωθεί ότι κρίσιμες εφαρμογές, remote workflows και απαιτούμενα DNS features λειτουργούν όπως αναμένεται.
Πρακτικό Checklist για μια ΜΜΕ
- Γνωρίζουμε ποιον DNS resolver χρησιμοποιούν οι εταιρικές συσκευές;
- Μπορούν οι χρήστες ή οι εφαρμογές να παρακάμψουν ανεξέλεγκτα τον εγκεκριμένο resolver;
- Υπάρχει DNS filtering για γνωστά κακόβουλα domains;
- Προστατεύονται και οι managed φορητές συσκευές όταν βρίσκονται εκτός γραφείου;
- Έχουμε καθορίσει πώς χειριζόμαστε DoH και DoT;
- Υπάρχει διαδικασία για allow-list exceptions και false positives;
- Καταγράφονται τα σημαντικά DNS security events;
- Υπάρχει κάποιος που εξετάζει ουσιαστικά τα σημαντικά alerts;
- Έχει αξιολογηθεί η διαθεσιμότητα και η πολιτική δεδομένων του provider;
- Το PDNS λειτουργεί ως μέρος layered security και όχι ως μοναδικό control;
Πώς μπορεί να βοηθήσει η DataShield
Η εφαρμογή Protective DNS δεν είναι απλώς αλλαγή μιας DNS διεύθυνσης. Χρειάζεται να εξεταστούν η υπάρχουσα δικτυακή αρχιτεκτονική, οι managed συσκευές, οι remote users, το firewall, το encrypted DNS, το logging και οι διαδικασίες monitoring.
Η DataShield μπορεί να αξιολογήσει την υπάρχουσα DNS και network security διαμόρφωση μιας επιχείρησης και να εντοπίσει πού ένα κατάλληλο DNS security control μπορεί να προσθέσει ουσιαστική προστασία και ορατότητα χωρίς να δημιουργεί ανεξέλεγκτα σημεία παράκαμψης.
Συμπέρασμα
Το DNS είναι απαραίτητο για την καθημερινή λειτουργία των περισσότερων εταιρικών συστημάτων και ταυτόχρονα μπορεί να αποτελέσει χρήσιμο security enforcement point.
Ένα σωστά σχεδιασμένο Protective DNS μπορεί να εμποδίζει την επίλυση γνωστών κακόβουλων domains και να δημιουργεί χρήσιμα security events. Δεν μπορεί όμως να αναγνωρίζει κάθε νέα απειλή ούτε να αντικαταστήσει τα υπόλοιπα επίπεδα άμυνας.
Η πραγματική αξία του εμφανίζεται όταν εντάσσεται σε μια συνολική στρατηγική που περιλαμβάνει endpoint security, firewall controls, web και email protection, monitoring και οργανωμένη απόκριση σε περιστατικά.
