ຄູ່ມືຄວາມປອດໄພ DNS

ບໍ່ວ່າບໍລິສັດເຮັດໃດກໍ່ຕາມ, ຄວາມປອດໄພ DNS ຄວນເປັນສ່ວນໜຶ່ງທີ່ສຳຄັນຂອງແຜນຄວາມປອດໄພຂອງມັນ. ບໍລິການຊື່, ເຊິ່ງແກ້ໄຂຊື່ໂຮດເຄືອຂ່າຍໄປຫາທີ່ຢູ່ IP, ຖືກນໍາໃຊ້ໂດຍທຸກໆຄໍາຮ້ອງສະຫມັກແລະການບໍລິການໃນເຄືອຂ່າຍ.

ຖ້າຜູ້ໂຈມຕີໄດ້ຮັບການຄວບຄຸມ DNS ຂອງອົງການ, ເຂົາເຈົ້າສາມາດ:

• ໃຫ້ຕົວທ່ານເອງຄວບຄຸມຊັບພະຍາກອນທີ່ຢູ່ໃນສາທາລະນະ
• ປ່ຽນເສັ້ນທາງອີເມລ໌ທີ່ເຂົ້າມາເຊັ່ນດຽວກັນກັບຄໍາຮ້ອງຂໍເວັບແລະຄວາມພະຍາຍາມໃນການກວດສອບຄວາມຖືກຕ້ອງ
• ສ້າງ ແລະກວດສອບໃບຢັ້ງຢືນ SSL/TLS

ຄູ່ມືນີ້ເບິ່ງຄວາມປອດໄພ DNS ຈາກສອງທັດສະນະ:

1. ການຕິດຕາມແລະຄວບຄຸມ DNS ຢ່າງຕໍ່ເນື່ອງ
2. ໂປຣໂຕຄອນ DNS ໃໝ່ ເຊັ່ນ DNSSEC, DOH, ແລະ DoT ສາມາດຊ່ວຍປົກປ້ອງຄວາມຊື່ສັດ ແລະຄວາມລັບຂອງການຮ້ອງຂໍ DNS ທີ່ສົ່ງຜ່ານແນວໃດ

ຄວາມປອດໄພ DNS ແມ່ນຫຍັງ?

ມີສອງອົງປະກອບທີ່ສໍາຄັນຕໍ່ແນວຄວາມຄິດຂອງຄວາມປອດໄພ DNS:

1. ການຮັບປະກັນຄວາມສົມບູນໂດຍລວມແລະຄວາມພ້ອມຂອງການບໍລິການ DNS ທີ່ແກ້ໄຂຊື່ໂຮດເຄືອຂ່າຍໄປຫາທີ່ຢູ່ IP
2. ຕິດຕາມການເຄື່ອນໄຫວ DNS ເພື່ອລະບຸບັນຫາຄວາມປອດໄພທີ່ອາດຈະເກີດຂຶ້ນຢູ່ທຸກບ່ອນໃນເຄືອຂ່າຍຂອງທ່ານ

ເປັນຫຍັງ DNS ຈຶ່ງມີຄວາມສ່ຽງທີ່ຈະໂຈມຕີ?

ເທກໂນໂລຍີ DNS ໄດ້ຖືກສ້າງຂື້ນໃນຍຸກທໍາອິດຂອງອິນເຕີເນັດ, ດົນນານກ່ອນທີ່ຜູ້ໃດຈະຄິດກ່ຽວກັບຄວາມປອດໄພຂອງເຄືອຂ່າຍ. DNS ດໍາເນີນການໂດຍບໍ່ມີການກວດສອບຄວາມຖືກຕ້ອງແລະການເຂົ້າລະຫັດ, ດໍາເນີນການຄໍາຮ້ອງຂໍ blindly ຈາກຜູ້ໃຊ້ໃດໆ.

ໃນເລື່ອງນີ້, ມີຫຼາຍວິທີທີ່ຈະຫລອກລວງຜູ້ໃຊ້ແລະຂໍ້ມູນປອມກ່ຽວກັບບ່ອນທີ່ການແກ້ໄຂຊື່ໄປຫາທີ່ຢູ່ IP ແມ່ນປະຕິບັດຕົວຈິງ.

ບັນຫາຄວາມປອດໄພ DNS ແລະອົງປະກອບ

ຄວາມປອດໄພ DNS ປະກອບດ້ວຍພື້ນຖານຈໍານວນຫນຶ່ງ ສ່ວນປະກອບແຕ່ລະອັນຈະຕ້ອງຖືກພິຈາລະນາເພື່ອຮັບປະກັນການປົກປ້ອງຢ່າງເຕັມທີ່:

• ເສີມສ້າງຄວາມປອດໄພຂອງເຊີບເວີ ແລະຂັ້ນຕອນການຈັດການ: ເພີ່ມຄວາມປອດໄພຂອງເຊີບເວີ ແລະສ້າງແມ່ແບບການມອບໝາຍມາດຕະຖານ
• ການປັບປຸງພິທີການ: ປະຕິບັດ DNSSEC, DoT ຫຼື DoH
• ການ​ວິ​ເຄາະ​ແລະ​ການ​ລາຍ​ງານ​: ເພີ່ມບັນທຶກເຫດການ DNS ເຂົ້າໃນລະບົບ SIEM ຂອງເຈົ້າສໍາລັບສະພາບການເພີ່ມເຕີມໃນເວລາສືບສວນເຫດການ
• Cyber ​​​​Intelligence and Threat Detection: ສະໝັກໃຊ້ຟີດຂ່າວລັບທີ່ເປັນໄພຂົ່ມຂູ່ຢ່າງຫ້າວຫັນ
• ອັດຕະໂນມັດ: ສ້າງສະຄຣິບຫຼາຍເທົ່າທີ່ເປັນໄປໄດ້ເພື່ອເຮັດໃຫ້ຂະບວນການອັດຕະໂນມັດ

ອົງປະກອບລະດັບສູງຂ້າງເທິງແມ່ນພຽງແຕ່ປາຍຂອງ iceberg ຄວາມປອດໄພ DNS. ໃນພາກຕໍ່ໄປ, ພວກເຮົາຈະພິຈາລະນາຢ່າງລະອຽດກ່ຽວກັບກໍລະນີການນໍາໃຊ້ສະເພາະແລະການປະຕິບັດທີ່ດີທີ່ສຸດທີ່ທ່ານຈໍາເປັນຕ້ອງຮູ້.

ການໂຈມຕີ DNS

• DNS spoofing ຫຼື cache ເປັນພິດ: ການຂຸດຄົ້ນຄວາມອ່ອນແອຂອງລະບົບເພື່ອຈັດການ DNS cache ເພື່ອໂອນຜູ້ໃຊ້ໄປຫາສະຖານທີ່ອື່ນ
• DNS tunneling: ສ່ວນໃຫຍ່ໃຊ້ເພື່ອຂ້າມການປົກປ້ອງການເຊື່ອມຕໍ່ທາງໄກ
• ການຂັດຂວາງ DNS: ການປ່ຽນເສັ້ນທາງ DNS ປົກກະຕິໄປຫາເຄື່ອງແມ່ຂ່າຍ DNS ເປົ້າຫມາຍອື່ນໂດຍການປ່ຽນແປງ registrar ໂດເມນ
• ການໂຈມຕີ NXDOMAIN: ດໍາເນີນການໂຈມຕີ DDoS ຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ມີອໍານາດໂດຍການສົ່ງຄໍາຖາມໂດເມນທີ່ຜິດກົດຫມາຍເພື່ອໃຫ້ໄດ້ຮັບການຕອບໂຕ້ບັງຄັບ.
• ໂດເມນ phantom: ເຮັດໃຫ້ຕົວແກ້ໄຂ DNS ລໍຖ້າການຕອບໂຕ້ຈາກໂດເມນທີ່ບໍ່ມີຢູ່, ເຮັດໃຫ້ການປະຕິບັດທີ່ບໍ່ດີ
• ໂຈມຕີໂດເມນຍ່ອຍແບບສຸ່ມ: hacked hosts ແລະ botnets DDoS ເປັນໂດເມນທີ່ມີຊີວິດແຕ່ເນັ້ນໃສ່ໂດເມນຍ່ອຍທີ່ບໍ່ຖືກຕ້ອງເພື່ອບັງຄັບໃຫ້ເຄື່ອງແມ່ຂ່າຍ DNS ຊອກຫາບັນທຶກແລະຄວບຄຸມການບໍລິການ.
• ບລັອກໂດເມນ: ກໍາລັງສົ່ງຄໍາຕອບ spam ຫຼາຍເພື່ອສະກັດຊັບພະຍາກອນຂອງເຄື່ອງແມ່ຂ່າຍ DNS
• ການໂຈມຕີ botnet ຈາກອຸປະກອນຜູ້ໃຊ້: ການເກັບກໍາຄອມພິວເຕີ, ໂມເດັມ, routers ແລະອຸປະກອນອື່ນໆທີ່ສຸມໃສ່ການປະມວນຜົນຢູ່ໃນເວັບໄຊທ໌ສະເພາະໃດຫນຶ່ງເພື່ອ overload ມັນກັບການຮ້ອງຂໍການຈະລາຈອນ.

ການໂຈມຕີ DNS

ການໂຈມຕີທີ່ບາງວິທີໃຊ້ DNS ເພື່ອໂຈມຕີລະບົບອື່ນໆ (ເຊັ່ນ: ການປ່ຽນແປງບັນທຶກ DNS ບໍ່ແມ່ນເປົ້າຫມາຍສຸດທ້າຍ):

• Flux ໄວ
• ເຄືອຂ່າຍ Flux ດຽວ
• ເຄືອຂ່າຍ Dual Flux
• DNS tunneling

ການໂຈມຕີ DNS

ການໂຈມຕີທີ່ສົ່ງຄືນທີ່ຢູ່ IP ທີ່ຜູ້ໂຈມຕີຕ້ອງການຈາກເຄື່ອງແມ່ຂ່າຍ DNS:

• DNS spoofing ຫຼື cache ເປັນພິດ
• ການຂັດຂວາງ DNS

DNSSEC ແມ່ນຫຍັງ?

DNSSEC - ໂມດູນຄວາມປອດໄພການບໍລິການຊື່ໂດເມນ - ຖືກນໍາໃຊ້ເພື່ອກວດສອບບັນທຶກ DNS ໂດຍບໍ່ຈໍາເປັນຕ້ອງຮູ້ຂໍ້ມູນທົ່ວໄປສໍາລັບແຕ່ລະຄໍາຮ້ອງຂໍ DNS ສະເພາະ.

DNSSEC ໃຊ້ Digital Signature Keys (PKI) ເພື່ອກວດສອບວ່າຜົນຂອງການສອບຖາມຊື່ໂດເມນແມ່ນມາຈາກແຫຼ່ງທີ່ຖືກຕ້ອງ.
ການປະຕິບັດ DNSSEC ບໍ່ພຽງແຕ່ເປັນການປະຕິບັດທີ່ດີທີ່ສຸດຂອງອຸດສາຫະກໍາເທົ່ານັ້ນ, ແຕ່ຍັງຫຼີກເວັ້ນການໂຈມຕີ DNS ສ່ວນໃຫຍ່ຢ່າງມີປະສິດທິພາບ.

DNSSEC ເຮັດວຽກແນວໃດ

DNSSEC ເຮັດວຽກຄ້າຍຄືກັນກັບ TLS/HTTPS, ໂດຍໃຊ້ຄູ່ຄີສາທາລະນະ/ສ່ວນຕົວເພື່ອເຊັນບັນທຶກ DNS. ພາບລວມຂອງຂະບວນການ:

1. ບັນທຶກ DNS ແມ່ນເຊັນດ້ວຍຄູ່ຄີສ່ວນຕົວ ແລະ ສ່ວນຕົວ
2. ການຕອບຮັບຕໍ່ກັບການສອບຖາມ DNSSEC ປະກອບມີລາຍການທີ່ຮ້ອງຂໍ, ເຊັ່ນດຽວກັນກັບລາຍເຊັນແລະລະຫັດສາທາລະນະ
3. ຫຼັງຈາກນັ້ນ ກະແຈສາທາລະນະ ໃຊ້ເພື່ອປຽບທຽບຄວາມຖືກຕ້ອງຂອງບັນທຶກ ແລະລາຍເຊັນ

ຄວາມປອດໄພ DNS ແລະ DNSSEC

DNSSEC ເປັນເຄື່ອງມືສໍາລັບການກວດສອບຄວາມສົມບູນຂອງການສອບຖາມ DNS. ມັນບໍ່ມີຜົນຕໍ່ຄວາມເປັນສ່ວນຕົວ DNS. ໃນຄໍາສັບຕ່າງໆອື່ນໆ, DNSSEC ສາມາດໃຫ້ທ່ານຫມັ້ນໃຈໄດ້ວ່າຄໍາຕອບຂອງຄໍາຖາມ DNS ຂອງທ່ານບໍ່ໄດ້ຖືກ spoofed, ແຕ່ວ່າຜູ້ໂຈມຕີສາມາດເຫັນຜົນໄດ້ຮັບຍ້ອນວ່າພວກເຂົາຖືກສົ່ງໄປຫາທ່ານ.

DoT - DNS ຜ່ານ TLS

Transport Layer Security (TLS) ແມ່ນໂປໂຕຄອນການເຂົ້າລະຫັດລັບເພື່ອປົກປ້ອງຂໍ້ມູນທີ່ຖືກສົ່ງຜ່ານການເຊື່ອມຕໍ່ເຄືອຂ່າຍ. ເມື່ອການເຊື່ອມຕໍ່ TLS ທີ່ປອດໄພຖືກສ້າງຕັ້ງຂຶ້ນລະຫວ່າງລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍ, ຂໍ້ມູນທີ່ຖືກສົ່ງຈະຖືກເຂົ້າລະຫັດແລະບໍ່ມີຕົວກາງສາມາດເຫັນມັນໄດ້.

TLS ສ່ວນຫຼາຍມັກໃຊ້ເປັນສ່ວນໜຶ່ງຂອງ HTTPS (SSL) ໃນເວັບບຼາວເຊີຂອງເຈົ້າ ເນື່ອງຈາກການຮ້ອງຂໍຖືກສົ່ງໄປຫາເຊີບເວີ HTTP ທີ່ປອດໄພ.

DNS-over-TLS (DNS over TLS, DoT) ໃຊ້ໂປໂຕຄອນ TLS ເພື່ອເຂົ້າລະຫັດການເຂົ້າລະຫັດ UDP ສໍາລັບການສອບຖາມ DNS ປົກກະຕິ.
ການເຂົ້າລະຫັດຄຳຮ້ອງຂໍເຫຼົ່ານີ້ເປັນຂໍ້ຄວາມທຳມະດາຊ່ວຍປົກປ້ອງຜູ້ໃຊ້ ຫຼືແອັບພລິເຄຊັນທີ່ເຮັດການຮ້ອງຂໍຈາກການໂຈມຕີຫຼາຍຄັ້ງ.

• MitM, ຫຼື "ຜູ້ຊາຍໃນກາງ": ໂດຍບໍ່ມີການເຂົ້າລະຫັດ, ລະບົບລະດັບກາງລະຫວ່າງລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ມີອໍານາດອາດຈະສົ່ງຂໍ້ມູນທີ່ບໍ່ຖືກຕ້ອງຫຼືເປັນອັນຕະລາຍໃຫ້ກັບລູກຄ້າໃນການຕອບສະຫນອງຕໍ່ຄໍາຮ້ອງຂໍ.
• ການສືບລັບ ແລະການຕິດຕາມ: ໂດຍບໍ່ມີການຮ້ອງຂໍການເຂົ້າລະຫັດ, ມັນງ່າຍສໍາລັບລະບົບລະດັບກາງເພື່ອເບິ່ງວ່າເວັບໄຊທ໌ໃດທີ່ຜູ້ໃຊ້ຫຼືແອັບພລິເຄຊັນກໍາລັງເຂົ້າເຖິງ. ເຖິງແມ່ນວ່າມັນຈະບໍ່ສາມາດຮູ້ຫນ້າທີ່ສະເພາະທີ່ໄດ້ໄປຢ້ຽມຢາມຢູ່ໃນເວັບໄຊທ໌ຈາກ DNS ຢ່າງດຽວ, ພຽງແຕ່ຮູ້ໂດເມນທີ່ຮ້ອງຂໍແມ່ນພຽງພໍທີ່ຈະສ້າງໂປຣໄຟລ໌ຂອງລະບົບຫຼືບຸກຄົນ.

ແຫຼ່ງຂໍ້ມູນ: ວິທະຍາໄລຄາລີຟໍເນຍ Irvine

DoH - DNS ຜ່ານ HTTPS

DNS-over-HTTPS (DNS ຜ່ານ HTTPS, DoH) ແມ່ນໂປຣໂຕຄໍທົດລອງທີ່ສົ່ງເສີມຮ່ວມກັນໂດຍ Mozilla ແລະ Google. ເປົ້າຫມາຍຂອງມັນແມ່ນຄ້າຍຄືກັນກັບໂປໂຕຄອນ DoT - ເສີມຂະຫຍາຍຄວາມເປັນສ່ວນຕົວຂອງປະຊາຊົນໃນອິນເຕີເນັດໂດຍການເຂົ້າລະຫັດການຮ້ອງຂໍ DNS ແລະຄໍາຕອບ.

ການສອບຖາມ DNS ມາດຕະຖານຖືກສົ່ງຜ່ານ UDP. ການຮ້ອງຂໍແລະການຕອບສະຫນອງສາມາດຖືກຕິດຕາມໂດຍໃຊ້ເຄື່ອງມືເຊັ່ນ: Wireshark. DoT ເຂົ້າລະຫັດການຮ້ອງຂໍເຫຼົ່ານີ້, ແຕ່ພວກເຂົາຍັງຖືກລະບຸວ່າເປັນການຈະລາຈອນ UDP ທີ່ແຕກຕ່າງກັນຫຼາຍໃນເຄືອຂ່າຍ.

DoH ໃຊ້ວິທີການທີ່ແຕກຕ່າງກັນແລະສົ່ງຄໍາຮ້ອງຂໍການແກ້ໄຂຊື່ໂຮດທີ່ຖືກເຂົ້າລະຫັດຜ່ານການເຊື່ອມຕໍ່ HTTPS ທີ່ຄ້າຍຄືກັບຄໍາຮ້ອງຂໍເວັບອື່ນໆໃນເຄືອຂ່າຍ.

ຄວາມແຕກຕ່າງນີ້ມີຜົນກະທົບທີ່ສໍາຄັນຫຼາຍສໍາລັບທັງຜູ້ບໍລິຫານລະບົບແລະການແກ້ໄຂຊື່ໃນອະນາຄົດ.

1. ການກັ່ນຕອງ DNS ແມ່ນວິທີທົ່ວໄປໃນການກັ່ນຕອງການເຂົ້າຊົມເວັບເພື່ອປົກປ້ອງຜູ້ໃຊ້ຈາກການໂຈມຕີ phishing, ເວັບໄຊທ໌ malware ຫຼືກິດຈະກໍາທາງອິນເຕີເນັດທີ່ເປັນອັນຕະລາຍອື່ນໆໃນເຄືອຂ່າຍຂອງບໍລິສັດ. ໂປໂຕຄອນ DoH ຂ້າມຕົວກອງເຫຼົ່ານີ້, ອາດຈະເຮັດໃຫ້ຜູ້ໃຊ້ ແລະເຄືອຂ່າຍມີຄວາມສ່ຽງສູງຂຶ້ນ.
2. ໃນຮູບແບບການແກ້ໄຂຊື່ໃນປະຈຸບັນ, ທຸກໆອຸປະກອນໃນເຄືອຂ່າຍ, ໃນບາງຂອບເຂດ, ໄດ້ຮັບການຮ້ອງຂໍ DNS ຈາກສະຖານທີ່ດຽວກັນ (ຈາກເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ລະບຸ). DoH, ແລະໂດຍສະເພາະການປະຕິບັດຂອງ Firefox ຂອງມັນ, ສະແດງໃຫ້ເຫັນວ່ານີ້ອາດຈະມີການປ່ຽນແປງໃນອະນາຄົດ. ແຕ່ລະຄໍາຮ້ອງສະຫມັກໃນຄອມພິວເຕີສາມາດໄດ້ຮັບຂໍ້ມູນຈາກແຫຼ່ງ DNS ທີ່ແຕກຕ່າງກັນ, ເຮັດໃຫ້ການແກ້ໄຂບັນຫາ, ຄວາມປອດໄພ, ແລະການສ້າງແບບຈໍາລອງຄວາມສ່ຽງມີຄວາມຫຍຸ້ງຍາກຫຼາຍ.

ແຫຼ່ງຂໍ້ມູນ: www.varonis.com/blog/what-is-powershell

ຄວາມແຕກຕ່າງລະຫວ່າງ DNS ຜ່ານ TLS ແລະ DNS ຜ່ານ HTTPS ແມ່ນຫຍັງ?

ເລີ່ມຕົ້ນດ້ວຍ DNS ຜ່ານ TLS (DoT). ຈຸດ​ສຸມ​ຢູ່​ທີ່​ນີ້​ແມ່ນ​ວ່າ​ອະ​ນຸ​ສັນ​ຍາ DNS ຕົ້ນ​ສະ​ບັບ​ບໍ່​ໄດ້​ຖືກ​ດັດ​ແກ້​, ແຕ່​ພຽງ​ແຕ່​ສົ່ງ​ຢ່າງ​ປອດ​ໄພ​ຜ່ານ​ຊ່ອງ​ທາງ​ທີ່​ປອດ​ໄພ​. DoH ວາງ DNS ໃນຮູບແບບ HTTP ກ່ອນການຮ້ອງຂໍ.

ແຈ້ງເຕືອນການຕິດຕາມກວດກາ DNS

ຄວາມສາມາດໃນການກວດສອບການຈາລະຈອນ DNS ຢູ່ໃນເຄືອຂ່າຍຂອງທ່ານຢ່າງມີປະສິດທິພາບສໍາລັບຄວາມຜິດປົກກະຕິທີ່ຫນ້າສົງໄສແມ່ນສໍາຄັນຕໍ່ກັບການກວດພົບການລະເມີດໂດຍໄວ. ການນໍາໃຊ້ເຄື່ອງມືເຊັ່ນ Varonis Edge ຈະຊ່ວຍໃຫ້ທ່ານສາມາດຢູ່ເທິງສຸດຂອງທຸກ metrics ທີ່ສໍາຄັນແລະສ້າງໂປຣໄຟລ໌ສໍາລັບທຸກໆບັນຊີໃນເຄືອຂ່າຍຂອງທ່ານ. ທ່ານ​ສາ​ມາດ​ຕັ້ງ​ຄ່າ​ການ​ແຈ້ງ​ເຕືອນ​ທີ່​ຈະ​ຖືກ​ສ້າງ​ເປັນ​ຜົນ​ມາ​ຈາກ​ການ​ປະ​ສົມ​ປະ​ຕິ​ບັດ​ທີ່​ເກີດ​ຂຶ້ນ​ໃນ​ໄລ​ຍະ​ເວ​ລາ​ໃດ​ຫນຶ່ງ​.

ການຕິດຕາມການປ່ຽນແປງ DNS, ສະຖານທີ່ບັນຊີ, ແລະການນໍາໃຊ້ຄັ້ງທໍາອິດແລະການເຂົ້າເຖິງຂໍ້ມູນທີ່ລະອຽດອ່ອນ, ແລະກິດຈະກໍານອກຊົ່ວໂມງແມ່ນພຽງແຕ່ສອງສາມຕົວວັດແທກທີ່ສາມາດປຽບທຽບເພື່ອສ້າງຮູບພາບທີ່ກວ້າງຂວາງຂອງການກວດສອບ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com