មគ្គុទ្ទេសក៍សុវត្ថិភាព DNS

អ្វីក៏ដោយដែលក្រុមហ៊ុនធ្វើគឺសន្តិសុខ ឈ្មោះ DNS គួរតែជាផ្នែកសំខាន់នៃផែនការសន្តិសុខរបស់ខ្លួន។ សេវាឈ្មោះ ដែលដោះស្រាយឈ្មោះម៉ាស៊ីនទៅអាសយដ្ឋាន IP ត្រូវបានប្រើដោយស្ទើរតែគ្រប់កម្មវិធី និងសេវាកម្មនៅលើបណ្តាញ។

ប្រសិនបើអ្នកវាយប្រហារទទួលបានការគ្រប់គ្រង DNS របស់ស្ថាប័នមួយ គាត់អាចងាយស្រួល៖

• ផ្តល់ឱ្យខ្លួនអ្នកនូវការគ្រប់គ្រងលើធនធានដែលបានចែករំលែក
• បញ្ជូនបន្តអ៊ីមែលចូល ក៏ដូចជាសំណើគេហទំព័រ និងការព្យាយាមផ្ទៀងផ្ទាត់
• បង្កើត និងធ្វើឱ្យវិញ្ញាបនបត្រ SSL/TLS មានសុពលភាព

ការណែនាំនេះមើលសុវត្ថិភាព DNS ពីមុំពីរ៖

1. អនុវត្តការត្រួតពិនិត្យបន្ត និងការគ្រប់គ្រងលើ DNS
2. របៀបដែលពិធីការ DNS ថ្មីដូចជា DNSSEC, DOH និង DoT អាចជួយការពារសុចរិតភាព និងភាពសម្ងាត់នៃសំណើ DNS ដែលបានបញ្ជូន

តើសុវត្ថិភាព DNS ជាអ្វី?

គោលគំនិតនៃសុវត្ថិភាព DNS រួមមានសមាសភាគសំខាន់ពីរ៖

1. ការធានានូវភាពសុចរិតជារួម និងភាពអាចរកបាននៃសេវាកម្ម DNS ដែលដោះស្រាយឈ្មោះម៉ាស៊ីនទៅអាសយដ្ឋាន IP
2. តាមដានសកម្មភាព DNS ដើម្បីកំណត់បញ្ហាសុវត្ថិភាពដែលអាចកើតមានគ្រប់ទីកន្លែងនៅលើបណ្តាញរបស់អ្នក។

ហេតុអ្វីបានជា DNS ងាយរងការវាយប្រហារ?

បច្ចេកវិទ្យា DNS ត្រូវបានបង្កើតឡើងនៅដើមដំបូងនៃអ៊ិនធឺណិត យូរមុនពេលនរណាម្នាក់ចាប់ផ្តើមគិតអំពីសុវត្ថិភាពបណ្តាញ។ DNS ដំណើរការដោយគ្មានការផ្ទៀងផ្ទាត់ ឬការអ៊ិនគ្រីប ដំណើរការសំណើដោយងងឹតងងុលពីអ្នកប្រើប្រាស់ណាមួយ។

ដោយសារតែនេះ មានវិធីជាច្រើនដើម្បីបញ្ឆោតអ្នកប្រើប្រាស់ និងក្លែងបន្លំព័ត៌មានអំពីកន្លែងដែលការដោះស្រាយឈ្មោះទៅអាសយដ្ឋាន IP ពិតជាកើតឡើង។

សុវត្ថិភាព DNS៖ បញ្ហា និងសមាសធាតុ

សុវត្ថិភាព DNS មានមូលដ្ឋានជាច្រើន។ សមាសភាគដែលនីមួយៗត្រូវយកមកពិចារណា ដើម្បីធានាបាននូវការការពារពេញលេញ៖

• ការពង្រឹងសុវត្ថិភាពម៉ាស៊ីនមេ និងនីតិវិធីគ្រប់គ្រង៖ បង្កើនកម្រិតសុវត្ថិភាពម៉ាស៊ីនមេ និងបង្កើតគំរូកម្រៃជើងសារស្តង់ដារ
• ការកែលម្អពិធីការ៖ អនុវត្ត DNSSEC, DoT ឬ DoH
• ការវិភាគ និងរបាយការណ៍៖ បន្ថែមកំណត់ហេតុព្រឹត្តិការណ៍ DNS ទៅប្រព័ន្ធ SIEM របស់អ្នកសម្រាប់បរិបទបន្ថែមនៅពេលស៊ើបអង្កេតឧប្បត្តិហេតុ
• ស៊ើបការណ៍តាមអ៊ីនធឺណិត និងការរកឃើញការគំរាមកំហែង៖ ជាវព័ត៌មានព័ត៌មានសម្ងាត់គំរាមកំហែងសកម្ម
• ស្វ័យប្រវត្តិកម្ម៖ បង្កើតស្គ្រីបឱ្យបានច្រើនតាមដែលអាចធ្វើទៅបាន ដើម្បីធ្វើស្វ័យប្រវត្តិកម្មដំណើរការ

សមាសធាតុកម្រិតខ្ពស់ដែលបានរៀបរាប់ខាងលើគ្រាន់តែជាព័ត៌មានជំនួយនៃផ្ទាំងទឹកកកសុវត្ថិភាព DNS ប៉ុណ្ណោះ។ នៅក្នុងផ្នែកបន្ទាប់ យើងនឹងពិនិត្យមើលករណីប្រើប្រាស់ជាក់លាក់បន្ថែមទៀត និងការអនុវត្តល្អបំផុតដែលអ្នកត្រូវដឹង។

ការវាយប្រហារ DNS

• ការក្លែងបន្លំ DNS ឬការពុលឃ្លាំងសម្ងាត់: ការកេងប្រវ័ញ្ចភាពងាយរងគ្រោះរបស់ប្រព័ន្ធដើម្បីរៀបចំឃ្លាំងសម្ងាត់ DNS ដើម្បីបញ្ជូនអ្នកប្រើប្រាស់ទៅកាន់ទីតាំងមួយផ្សេងទៀត
• ផ្លូវរូងក្រោមដី DNS: ប្រើជាចម្បងដើម្បីរំលងការការពារការតភ្ជាប់ពីចម្ងាយ
• ការលួច DNS៖ ប្តូរទិសចរាចរ DNS ធម្មតាទៅកាន់ម៉ាស៊ីនមេ DNS គោលដៅផ្សេងដោយផ្លាស់ប្តូរអ្នកចុះឈ្មោះដែន
• ការវាយប្រហារ NXDOMAIN៖ ធ្វើការវាយប្រហារ DDoS លើម៉ាស៊ីនមេ DNS ដែលមានសិទ្ធិដោយផ្ញើសំណួរដែនមិនស្របច្បាប់ដើម្បីទទួលបានការឆ្លើយតបដោយបង្ខំ
• ដែនខ្មោច៖ បណ្តាលឱ្យអ្នកដោះស្រាយ DNS រង់ចាំការឆ្លើយតបពីដែនដែលមិនមាន ដែលបណ្តាលឱ្យដំណើរការមិនល្អ
• វាយប្រហារលើដែនរងចៃដន្យ៖ ម៉ាស៊ីន និង botnets ដែលត្រូវបានសម្របសម្រួលចាប់ផ្តើមការវាយប្រហារ DDoS លើដែនដែលមានសុពលភាព ប៉ុន្តែផ្តោតលើការបាញ់របស់ពួកគេលើដែនរងក្លែងក្លាយ ដើម្បីបង្ខំម៉ាស៊ីនមេ DNS ឱ្យរកមើលកំណត់ត្រា និងគ្រប់គ្រងសេវាកម្ម។
• ការទប់ស្កាត់ដែន៖ កំពុងផ្ញើការឆ្លើយតបសារឥតបានការជាច្រើនដើម្បីទប់ស្កាត់ធនធានម៉ាស៊ីនមេ DNS
• ការវាយប្រហារតាម Botnet ពីឧបករណ៍អតិថិជន៖ បណ្តុំនៃកុំព្យូទ័រ ម៉ូដឹម រ៉ោតទ័រ និងឧបករណ៍ផ្សេងទៀតដែលប្រមូលផ្តុំថាមពលកុំព្យូទ័រនៅលើគេហទំព័រជាក់លាក់មួយ ដើម្បីផ្ទុកលើសទម្ងន់ជាមួយនឹងសំណើចរាចរណ៍

ការវាយប្រហារ DNS

ការវាយប្រហារដែលប្រើ DNS ដើម្បីវាយប្រហារប្រព័ន្ធផ្សេងទៀត (ឧ. ការផ្លាស់ប្តូរ DNS records មិនមែនជាគោលដៅចុងក្រោយទេ)៖

• លំហូរលឿន
• បណ្តាញ Flux តែមួយ
• បណ្តាញលំហូរទ្វេ
• ផ្លូវរូងក្រោមដី DNS

ការវាយប្រហារ DNS

ការវាយប្រហារដែលបណ្តាលឱ្យអាសយដ្ឋាន IP ដែលត្រូវការដោយអ្នកវាយប្រហារត្រូវបានបញ្ជូនមកវិញពីម៉ាស៊ីនមេ DNS៖

• ការក្លែងបន្លំ DNS ឬការពុលឃ្លាំងសម្ងាត់
• ការលួច DNS

តើ DNSSEC ជាអ្វី?

DNSSEC - ម៉ាស៊ីនសុវត្ថិភាពសេវាកម្មឈ្មោះដែន - ត្រូវបានប្រើដើម្បីធ្វើសុពលភាពកំណត់ត្រា DNS ដោយមិនចាំបាច់ដឹងព័ត៌មានទូទៅសម្រាប់សំណើ DNS ជាក់លាក់នីមួយៗ។

DNSSEC ប្រើសោហត្ថលេខាឌីជីថល (PKIs) ដើម្បីផ្ទៀងផ្ទាត់ថាតើលទ្ធផលនៃសំណួរឈ្មោះដែនបានមកពីប្រភពត្រឹមត្រូវ។
ការអនុវត្ត DNSSEC មិនត្រឹមតែជាការអនុវត្តល្អបំផុតក្នុងឧស្សាហកម្មប៉ុណ្ណោះទេ ប៉ុន្តែវាក៏មានប្រសិទ្ធភាពក្នុងការជៀសវាងការវាយប្រហារ DNS ភាគច្រើនផងដែរ។

របៀបដែល DNSSEC ដំណើរការ

DNSSEC ដំណើរការស្រដៀងគ្នាទៅនឹង TLS/HTTPS ដោយប្រើគូសោសាធារណៈ និងឯកជន ដើម្បីចុះហត្ថលេខាលើកំណត់ត្រា DNS ជាឌីជីថល។ ទិដ្ឋភាពទូទៅនៃដំណើរការ៖

1. កំណត់ត្រា DNS ត្រូវបានចុះហត្ថលេខាជាមួយគូសោឯកជនឯកជន
2. ការឆ្លើយតបទៅនឹងសំណួរ DNSSEC មានកំណត់ត្រាដែលបានស្នើសុំ ក៏ដូចជាហត្ថលេខា និងសោសាធារណៈ
3. បន្ទាប់មក សោសាធារណៈ ប្រើដើម្បីប្រៀបធៀបភាពត្រឹមត្រូវនៃកំណត់ត្រា និងហត្ថលេខា

សុវត្ថិភាព DNS និង DNSSEC

DNSSEC គឺជាឧបករណ៍សម្រាប់ពិនិត្យមើលភាពត្រឹមត្រូវនៃសំណួរ DNS ។ វាមិនប៉ះពាល់ដល់ឯកជនភាព DNS ទេ។ ម្យ៉ាងវិញទៀត DNSSEC អាចផ្តល់ឱ្យអ្នកនូវទំនុកចិត្តថា ចម្លើយចំពោះសំណួរ DNS របស់អ្នកមិនត្រូវបានរំខានទេ ប៉ុន្តែអ្នកវាយប្រហារណាមួយអាចឃើញលទ្ធផលទាំងនោះ ដូចដែលពួកគេត្រូវបានផ្ញើទៅអ្នក។

DoT - DNS លើ TLS

Transport Layer Security (TLS) គឺជាពិធីការគ្រីបគ្រីបសម្រាប់ការពារព័ត៌មានដែលបានបញ្ជូនតាមការតភ្ជាប់បណ្តាញ។ នៅពេលដែលការតភ្ជាប់ TLS សុវត្ថិភាពត្រូវបានបង្កើតឡើងរវាងម៉ាស៊ីនភ្ញៀវ និងម៉ាស៊ីនមេ ទិន្នន័យដែលបានបញ្ជូនត្រូវបានអ៊ិនគ្រីប ហើយគ្មានអន្តរការីអាចឃើញវាទេ។

TLS បាន ភាគច្រើនត្រូវបានគេប្រើជាផ្នែកនៃ HTTPS (SSL) នៅក្នុងកម្មវិធីរុករកតាមអ៊ីនធឺណិតរបស់អ្នក ពីព្រោះសំណើត្រូវបានផ្ញើទៅកាន់ម៉ាស៊ីនមេ HTTP ដែលមានសុវត្ថិភាព។

DNS-over-TLS (DNS over TLS, DoT) ប្រើពិធីការ TLS ដើម្បីអ៊ិនគ្រីបចរាចរ UDP នៃសំណើ DNS ធម្មតា។
ការអ៊ិនគ្រីបសំណើទាំងនេះជាអត្ថបទធម្មតាជួយការពារអ្នកប្រើប្រាស់ ឬកម្មវិធីដែលធ្វើការស្នើសុំពីការវាយប្រហារជាច្រើន។

• MitM ឬ "បុរសនៅកណ្តាល"៖ បើគ្មានការអ៊ិនគ្រីបទេ ប្រព័ន្ធកម្រិតមធ្យមរវាងម៉ាស៊ីនភ្ញៀវ និងម៉ាស៊ីនមេ DNS ដែលអាចអនុញ្ញាតិអាចផ្ញើព័ត៌មានមិនពិត ឬគ្រោះថ្នាក់ដល់អតិថិជនក្នុងការឆ្លើយតបទៅនឹងសំណើ
• ចារកម្ម និងការតាមដាន៖ ដោយគ្មានសំណើការអ៊ិនគ្រីប វាងាយស្រួលសម្រាប់ប្រព័ន្ធ Middleware ដើម្បីមើលគេហទំព័រណាមួយដែលអ្នកប្រើប្រាស់ ឬកម្មវិធីណាមួយកំពុងចូលប្រើ។ ទោះបីជា DNS តែម្នាក់ឯងនឹងមិនបង្ហាញទំព័រជាក់លាក់ដែលត្រូវបានចូលមើលនៅលើគេហទំព័រក៏ដោយ ការដឹងអំពីដែនដែលបានស្នើសុំគឺគ្រប់គ្រាន់ដើម្បីបង្កើតទម្រង់នៃប្រព័ន្ធ ឬបុគ្គល។

ប្រភព: សាកលវិទ្យាល័យកាលីហ្វ័រញ៉ាអ៊ីលវីន

DoH - DNS លើ HTTPS

DNS-over-HTTPS (DNS over HTTPS, DoH) គឺជាពិធីការពិសោធន៍ដែលត្រូវបានផ្សព្វផ្សាយរួមគ្នាដោយ Mozilla និង Google ។ គោលដៅរបស់វាគឺស្រដៀងគ្នាទៅនឹងពិធីការ DoT—ការបង្កើនភាពឯកជនរបស់មនុស្សនៅលើអ៊ីនធឺណិតដោយការអ៊ិនគ្រីបសំណើ DNS និងការឆ្លើយតប។

សំណួរ DNS ស្តង់ដារត្រូវបានផ្ញើតាម UDP ។ សំណើ និងការឆ្លើយតបអាចត្រូវបានតាមដានដោយប្រើឧបករណ៍ដូចជា Wireshark. DoT អ៊ិនគ្រីបសំណើទាំងនេះ ប៉ុន្តែពួកគេនៅតែត្រូវបានកំណត់ថាជាចរាចរណ៍ UDP ខុសគ្នាដោយស្មើភាពនៅលើបណ្តាញ។

DoH ប្រើវិធីសាស្រ្តផ្សេង ហើយផ្ញើសំណើដំណោះស្រាយឈ្មោះម៉ាស៊ីនដែលបានអ៊ិនគ្រីបលើការតភ្ជាប់ HTTPS ដែលមើលទៅដូចជាសំណើគេហទំព័រផ្សេងទៀតនៅលើបណ្តាញ។

ភាពខុសគ្នានេះមានផលប៉ះពាល់យ៉ាងសំខាន់ទាំងសម្រាប់អ្នកគ្រប់គ្រងប្រព័ន្ធ និងសម្រាប់អនាគតនៃការដោះស្រាយឈ្មោះ។

1. តម្រង DNS គឺជាមធ្យោបាយទូទៅក្នុងការត្រងចរាចរគេហទំព័រ ដើម្បីការពារអ្នកប្រើប្រាស់ពីការវាយប្រហារដោយបន្លំ គេហទំព័រដែលចែកចាយមេរោគ ឬសកម្មភាពអ៊ីនធឺណិតដែលអាចបង្កគ្រោះថ្នាក់ផ្សេងទៀតនៅលើបណ្តាញសាជីវកម្ម។ ពិធីការ DoH រំលងតម្រងទាំងនេះ ដែលអាចបង្ហាញអ្នកប្រើប្រាស់ និងបណ្តាញឱ្យមានហានិភ័យកាន់តែច្រើន។
2. នៅក្នុងគំរូដំណោះស្រាយឈ្មោះបច្ចុប្បន្ន ឧបករណ៍ទាំងអស់នៅលើបណ្តាញច្រើនឬតិចទទួលបានសំណួរ DNS ពីទីតាំងដូចគ្នា (ម៉ាស៊ីនមេ DNS ដែលបានបញ្ជាក់)។ DoH និងជាពិសេសការអនុវត្តរបស់ Firefox លើវាបង្ហាញថាវាអាចផ្លាស់ប្តូរនាពេលអនាគត។ កម្មវិធីនីមួយៗនៅលើកុំព្យូទ័រអាចទទួលបានទិន្នន័យពីប្រភព DNS ផ្សេងៗគ្នា ដែលធ្វើអោយការដោះស្រាយបញ្ហា សុវត្ថិភាព និងការបង្កើតគំរូហានិភ័យកាន់តែស្មុគស្មាញ។

ប្រភព: www.varonis.com/blog/what-is-powershell

តើអ្វីជាភាពខុសគ្នារវាង DNS លើ TLS និង DNS លើ HTTPS?

តោះចាប់ផ្តើមជាមួយ DNS លើ TLS (DoT)។ ចំណុចសំខាន់នៅទីនេះគឺថាពិធីការ DNS ដើមមិនត្រូវបានផ្លាស់ប្តូរទេ ប៉ុន្តែត្រូវបានបញ្ជូនយ៉ាងសាមញ្ញតាមបណ្តាញសុវត្ថិភាព។ ម្យ៉ាងវិញទៀត DoH ដាក់ DNS ទៅក្នុងទម្រង់ HTTP មុនពេលធ្វើការស្នើសុំ។

ការជូនដំណឹងអំពីការត្រួតពិនិត្យ DNS

សមត្ថភាពក្នុងការត្រួតពិនិត្យចរាចរ DNS ប្រកបដោយប្រសិទ្ធភាពនៅលើបណ្តាញរបស់អ្នកសម្រាប់ភាពមិនប្រក្រតីដែលគួរឱ្យសង្ស័យគឺមានសារៈសំខាន់ក្នុងការរកឃើញការរំលោភបំពាន។ ការប្រើប្រាស់ឧបករណ៍ដូចជា Varonis Edge នឹងផ្តល់ឱ្យអ្នកនូវសមត្ថភាពក្នុងការស្ថិតនៅលើកំពូលនៃរង្វាស់សំខាន់ៗទាំងអស់ និងបង្កើតទម្រង់សម្រាប់គ្រប់គណនីនៅលើបណ្តាញរបស់អ្នក។ អ្នកអាចកំណត់រចនាសម្ព័ន្ធការជូនដំណឹងដែលត្រូវបង្កើតជាលទ្ធផលនៃការរួមបញ្ចូលគ្នានៃសកម្មភាពដែលកើតឡើងក្នុងរយៈពេលជាក់លាក់ណាមួយ។

ការតាមដានការផ្លាស់ប្តូរ DNS ទីតាំងគណនី ការប្រើប្រាស់លើកដំបូង និងការចូលប្រើទិន្នន័យរសើប និងសកម្មភាពក្រោយម៉ោងគឺគ្រាន់តែជារង្វាស់មួយចំនួនដែលអាចទាក់ទងគ្នាដើម្បីបង្កើតរូបភាពនៃការរកឃើញកាន់តែទូលំទូលាយ។

ប្រភព: www.habr.com