DNS-over-TLS (DoT) ਅਤੇ DNS-over-HTTPS (DoH) ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੇ ਜੋਖਮਾਂ ਨੂੰ ਘੱਟ ਕਰਨਾ

DoH ਅਤੇ DoT ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੇ ਜੋਖਮਾਂ ਨੂੰ ਘੱਟ ਕਰਨਾ

DoH ਅਤੇ DoT ਸੁਰੱਖਿਆ

ਕੀ ਤੁਸੀਂ ਆਪਣੇ DNS ਟ੍ਰੈਫਿਕ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਦੇ ਹੋ? ਸੰਸਥਾਵਾਂ ਆਪਣੇ ਨੈੱਟਵਰਕਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਬਹੁਤ ਸਾਰਾ ਸਮਾਂ, ਪੈਸਾ ਅਤੇ ਮਿਹਨਤ ਦਾ ਨਿਵੇਸ਼ ਕਰਦੀਆਂ ਹਨ। ਹਾਲਾਂਕਿ, ਇੱਕ ਖੇਤਰ ਜੋ ਅਕਸਰ ਕਾਫ਼ੀ ਧਿਆਨ ਨਹੀਂ ਦਿੰਦਾ ਹੈ DNS ਹੈ।

DNS ਲੈ ਕੇ ਆਉਣ ਵਾਲੇ ਜੋਖਮਾਂ ਦੀ ਇੱਕ ਚੰਗੀ ਸੰਖੇਪ ਜਾਣਕਾਰੀ ਹੈ ਵੈਰੀਸਾਈਨ ਪੇਸ਼ਕਾਰੀ ਇਨਫੋਸਿਕਿਓਰਿਟੀ ਕਾਨਫਰੰਸ ਵਿਚ.

ਸਰਵੇਖਣ ਕੀਤੇ ਗਏ 31% ਰੈਨਸਮਵੇਅਰ ਕਲਾਸਾਂ ਨੇ ਮੁੱਖ ਐਕਸਚੇਂਜ ਲਈ DNS ਦੀ ਵਰਤੋਂ ਕੀਤੀ। ਅਧਿਐਨ ਦੇ ਨਤੀਜੇ

ਸਰਵੇਖਣ ਕੀਤੇ ਗਏ 31% ਰੈਨਸਮਵੇਅਰ ਕਲਾਸਾਂ ਨੇ ਕੁੰਜੀ ਐਕਸਚੇਂਜ ਲਈ DNS ਦੀ ਵਰਤੋਂ ਕੀਤੀ।

ਸਮੱਸਿਆ ਗੰਭੀਰ ਹੈ। ਪਾਲੋ ਆਲਟੋ ਨੈੱਟਵਰਕ ਯੂਨਿਟ 42 ਖੋਜ ਪ੍ਰਯੋਗਸ਼ਾਲਾ ਦੇ ਅਨੁਸਾਰ, ਲਗਭਗ 85% ਮਾਲਵੇਅਰ ਇੱਕ ਕਮਾਂਡ ਅਤੇ ਨਿਯੰਤਰਣ ਚੈਨਲ ਸਥਾਪਤ ਕਰਨ ਲਈ DNS ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਜਿਸ ਨਾਲ ਹਮਲਾਵਰ ਤੁਹਾਡੇ ਨੈਟਵਰਕ ਵਿੱਚ ਮਾਲਵੇਅਰ ਨੂੰ ਆਸਾਨੀ ਨਾਲ ਇੰਜੈਕਟ ਕਰਨ ਦੇ ਨਾਲ-ਨਾਲ ਡਾਟਾ ਚੋਰੀ ਕਰ ਸਕਦੇ ਹਨ। ਇਸਦੀ ਸ਼ੁਰੂਆਤ ਤੋਂ ਲੈ ਕੇ, DNS ਟ੍ਰੈਫਿਕ ਨੂੰ ਵੱਡੇ ਪੱਧਰ 'ਤੇ ਅਣ-ਇਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ NGFW ਸੁਰੱਖਿਆ ਵਿਧੀਆਂ ਦੁਆਰਾ ਆਸਾਨੀ ਨਾਲ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। 

DNS ਲਈ ਨਵੇਂ ਪ੍ਰੋਟੋਕੋਲ DNS ਕੁਨੈਕਸ਼ਨਾਂ ਦੀ ਗੁਪਤਤਾ ਨੂੰ ਵਧਾਉਣ ਦੇ ਉਦੇਸ਼ ਨਾਲ ਸਾਹਮਣੇ ਆਏ ਹਨ। ਉਹ ਪ੍ਰਮੁੱਖ ਬ੍ਰਾਊਜ਼ਰ ਵਿਕਰੇਤਾਵਾਂ ਅਤੇ ਹੋਰ ਸੌਫਟਵੇਅਰ ਵਿਕਰੇਤਾਵਾਂ ਦੁਆਰਾ ਸਰਗਰਮੀ ਨਾਲ ਸਮਰਥਿਤ ਹਨ। ਏਨਕ੍ਰਿਪਟਡ DNS ਟ੍ਰੈਫਿਕ ਜਲਦੀ ਹੀ ਕਾਰਪੋਰੇਟ ਨੈੱਟਵਰਕਾਂ ਵਿੱਚ ਵਧਣਾ ਸ਼ੁਰੂ ਹੋ ਜਾਵੇਗਾ। ਐਨਕ੍ਰਿਪਟਡ DNS ਟ੍ਰੈਫਿਕ ਜਿਸਦਾ ਸਹੀ ਢੰਗ ਨਾਲ ਵਿਸ਼ਲੇਸ਼ਣ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਟੂਲਸ ਦੁਆਰਾ ਹੱਲ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ, ਇੱਕ ਕੰਪਨੀ ਲਈ ਇੱਕ ਸੁਰੱਖਿਆ ਖਤਰਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਅਜਿਹੀ ਧਮਕੀ ਕ੍ਰਿਪਟੋਲੌਕਰਸ ਹੈ ਜੋ ਏਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ DNS ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਹਮਲਾਵਰ ਹੁਣ ਤੁਹਾਡੇ ਡੇਟਾ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਬਹਾਲ ਕਰਨ ਲਈ ਕਈ ਮਿਲੀਅਨ ਡਾਲਰ ਦੀ ਫਿਰੌਤੀ ਦੀ ਮੰਗ ਕਰ ਰਹੇ ਹਨ। ਗਾਰਮਿਨ, ਉਦਾਹਰਨ ਲਈ, $10 ਮਿਲੀਅਨ ਦਾ ਭੁਗਤਾਨ ਕੀਤਾ।

ਜਦੋਂ ਸਹੀ ਢੰਗ ਨਾਲ ਕੌਂਫਿਗਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ NGFWs DNS-over-TLS (DoT) ਦੀ ਵਰਤੋਂ ਤੋਂ ਇਨਕਾਰ ਜਾਂ ਸੁਰੱਖਿਆ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ DNS-over-HTTPS (DoH) ਦੀ ਵਰਤੋਂ ਤੋਂ ਇਨਕਾਰ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਤੁਹਾਡੇ ਨੈੱਟਵਰਕ 'ਤੇ ਸਾਰੇ DNS ਟ੍ਰੈਫਿਕ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਐਨਕ੍ਰਿਪਟਡ DNS ਕੀ ਹੈ?

DNS ਕੀ ਹੈ

ਡੋਮੇਨ ਨੇਮ ਸਿਸਟਮ (DNS) ਮਨੁੱਖੀ-ਪੜ੍ਹਨ ਯੋਗ ਡੋਮੇਨ ਨਾਮਾਂ ਨੂੰ ਹੱਲ ਕਰਦਾ ਹੈ (ਉਦਾਹਰਨ ਲਈ, ਪਤਾ www.paloaltonetworks.com ) ਨੂੰ IP ਐਡਰੈੱਸ (ਉਦਾਹਰਨ ਲਈ, 34.107.151.202)। ਜਦੋਂ ਇੱਕ ਉਪਭੋਗਤਾ ਇੱਕ ਵੈਬ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਇੱਕ ਡੋਮੇਨ ਨਾਮ ਦਾਖਲ ਕਰਦਾ ਹੈ, ਤਾਂ ਬ੍ਰਾਊਜ਼ਰ DNS ਸਰਵਰ ਨੂੰ ਇੱਕ DNS ਪੁੱਛਗਿੱਛ ਭੇਜਦਾ ਹੈ, ਉਸ ਡੋਮੇਨ ਨਾਮ ਨਾਲ ਸੰਬੰਧਿਤ IP ਐਡਰੈੱਸ ਦੀ ਮੰਗ ਕਰਦਾ ਹੈ। ਜਵਾਬ ਵਿੱਚ, DNS ਸਰਵਰ ਉਹ IP ਪਤਾ ਵਾਪਸ ਕਰਦਾ ਹੈ ਜੋ ਇਹ ਬ੍ਰਾਊਜ਼ਰ ਵਰਤੇਗਾ।

DNS ਸਵਾਲ ਅਤੇ ਜਵਾਬ ਪੂਰੇ ਨੈੱਟਵਰਕ ਵਿੱਚ ਸਾਦੇ ਟੈਕਸਟ ਵਿੱਚ ਭੇਜੇ ਜਾਂਦੇ ਹਨ, ਅਣ-ਇਨਕ੍ਰਿਪਟਡ, ਇਸ ਨੂੰ ਜਾਸੂਸੀ ਕਰਨ ਜਾਂ ਜਵਾਬ ਨੂੰ ਬਦਲਣ ਅਤੇ ਬ੍ਰਾਊਜ਼ਰ ਨੂੰ ਖਤਰਨਾਕ ਸਰਵਰਾਂ 'ਤੇ ਰੀਡਾਇਰੈਕਟ ਕਰਨ ਲਈ ਕਮਜ਼ੋਰ ਬਣਾਉਂਦਾ ਹੈ। DNS ਇਨਕ੍ਰਿਪਸ਼ਨ ਟਰਾਂਸਮਿਸ਼ਨ ਦੌਰਾਨ DNS ਬੇਨਤੀਆਂ ਨੂੰ ਟਰੈਕ ਕਰਨਾ ਜਾਂ ਬਦਲਣਾ ਮੁਸ਼ਕਲ ਬਣਾਉਂਦਾ ਹੈ। DNS ਬੇਨਤੀਆਂ ਅਤੇ ਜਵਾਬਾਂ ਨੂੰ ਏਨਕ੍ਰਿਪਟ ਕਰਨਾ ਤੁਹਾਨੂੰ ਮੈਨ-ਇਨ-ਦ-ਮਿਡਲ ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਉਂਦਾ ਹੈ ਜਦੋਂ ਕਿ ਰਵਾਇਤੀ ਪਲੇਨ ਟੈਕਸਟ DNS (ਡੋਮੇਨ ਨੇਮ ਸਿਸਟਮ) ਪ੍ਰੋਟੋਕੋਲ ਦੇ ਸਮਾਨ ਕਾਰਜਸ਼ੀਲਤਾ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕਰਦੇ ਹੋਏ। 

ਪਿਛਲੇ ਕੁਝ ਸਾਲਾਂ ਵਿੱਚ, ਦੋ DNS ਇਨਕ੍ਰਿਪਸ਼ਨ ਪ੍ਰੋਟੋਕੋਲ ਪੇਸ਼ ਕੀਤੇ ਗਏ ਹਨ:

1. DNS-ਓਵਰ-HTTPS (DoH)

2. DNS-ਓਵਰ-TLS (DoT)

ਇਹਨਾਂ ਪ੍ਰੋਟੋਕੋਲਾਂ ਵਿੱਚ ਇੱਕ ਚੀਜ਼ ਸਾਂਝੀ ਹੈ: ਉਹ ਜਾਣਬੁੱਝ ਕੇ ਕਿਸੇ ਵੀ ਰੁਕਾਵਟ ਤੋਂ DNS ਬੇਨਤੀਆਂ ਨੂੰ ਲੁਕਾਉਂਦੇ ਹਨ... ਅਤੇ ਸੰਗਠਨ ਦੇ ਸੁਰੱਖਿਆ ਗਾਰਡਾਂ ਤੋਂ ਵੀ। ਪ੍ਰੋਟੋਕੋਲ ਮੁੱਖ ਤੌਰ 'ਤੇ TLS (ਟ੍ਰਾਂਸਪੋਰਟ ਲੇਅਰ ਸਿਕਿਓਰਿਟੀ) ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ ਤਾਂ ਕਿ ਇੱਕ ਕਲਾਇੰਟ ਮੇਕਿੰਗ ਸਵਾਲਾਂ ਅਤੇ ਇੱਕ ਸਰਵਰ ਦੇ ਵਿਚਕਾਰ ਇੱਕ ਏਨਕ੍ਰਿਪਟਡ ਕਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕਰਨ ਲਈ ਇੱਕ ਪੋਰਟ ਉੱਤੇ DNS ਸਵਾਲਾਂ ਨੂੰ ਹੱਲ ਕੀਤਾ ਜਾ ਸਕੇ ਜੋ ਆਮ ਤੌਰ 'ਤੇ DNS ਟ੍ਰੈਫਿਕ ਲਈ ਨਹੀਂ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

DNS ਸਵਾਲਾਂ ਦੀ ਗੁਪਤਤਾ ਇਹਨਾਂ ਪ੍ਰੋਟੋਕੋਲਾਂ ਦਾ ਇੱਕ ਵੱਡਾ ਪਲੱਸ ਹੈ। ਹਾਲਾਂਕਿ, ਉਹ ਸੁਰੱਖਿਆ ਗਾਰਡਾਂ ਲਈ ਸਮੱਸਿਆਵਾਂ ਪੈਦਾ ਕਰਦੇ ਹਨ ਜਿਨ੍ਹਾਂ ਨੂੰ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ ਅਤੇ ਖਤਰਨਾਕ ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਖੋਜਣਾ ਅਤੇ ਬਲਾਕ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਕਿਉਂਕਿ ਪ੍ਰੋਟੋਕੋਲ ਉਹਨਾਂ ਦੇ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਵੱਖਰੇ ਹੁੰਦੇ ਹਨ, ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਢੰਗ DoH ਅਤੇ DoT ਵਿਚਕਾਰ ਵੱਖਰੇ ਹੋਣਗੇ।

HTTPS (DoH) ਉੱਤੇ DNS

HTTPS ਦੇ ਅੰਦਰ DNS

DoH HTTPS ਲਈ ਮਸ਼ਹੂਰ ਪੋਰਟ 443 ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਜਿਸ ਲਈ RFC ਖਾਸ ਤੌਰ 'ਤੇ ਦੱਸਦਾ ਹੈ ਕਿ "ਉਸੇ ਕੁਨੈਕਸ਼ਨ 'ਤੇ DoH ਟ੍ਰੈਫਿਕ ਨੂੰ ਦੂਜੇ HTTPS ਟ੍ਰੈਫਿਕ ਨਾਲ ਮਿਲਾਉਣਾ", "DNS ਟ੍ਰੈਫਿਕ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨਾ ਮੁਸ਼ਕਲ ਬਣਾਉਣਾ" ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਕਾਰਪੋਰੇਟ ਨਿਯੰਤਰਣਾਂ ਨੂੰ ਰੋਕਣਾ ਹੈ। ( RFC 8484 DoH ਸੈਕਸ਼ਨ 8.1 ). DoH ਪ੍ਰੋਟੋਕੋਲ ਮਿਆਰੀ HTTP ਬੇਨਤੀਆਂ ਦੇ ਸਿਖਰ 'ਤੇ DNS ਬੇਨਤੀਆਂ ਅਤੇ ਜਵਾਬਾਂ ਨੂੰ ਜੋੜਦੇ ਹੋਏ, ਆਮ HTTPS ਅਤੇ HTTP/2 ਮਿਆਰਾਂ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤੇ ਗਏ TLS ਐਨਕ੍ਰਿਪਸ਼ਨ ਅਤੇ ਬੇਨਤੀ ਸੰਟੈਕਸ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ।

DoH ਨਾਲ ਜੁੜੇ ਜੋਖਮ

ਜੇਕਰ ਤੁਸੀਂ DoH ਬੇਨਤੀਆਂ ਤੋਂ ਨਿਯਮਤ HTTPS ਟ੍ਰੈਫਿਕ ਨੂੰ ਵੱਖਰਾ ਨਹੀਂ ਕਰ ਸਕਦੇ ਹੋ, ਤਾਂ ਤੁਹਾਡੀ ਸੰਸਥਾ ਦੇ ਅੰਦਰ ਐਪਲੀਕੇਸ਼ਨਾਂ DoH ਬੇਨਤੀਆਂ ਦਾ ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਤੀਜੀ-ਧਿਰ ਦੇ ਸਰਵਰਾਂ ਨੂੰ ਬੇਨਤੀਆਂ ਨੂੰ ਰੀਡਾਇਰੈਕਟ ਕਰਕੇ ਸਥਾਨਕ DNS ਸੈਟਿੰਗਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰ ਸਕਦੀਆਂ ਹਨ (ਅਤੇ ਕਰਨਗੀਆਂ), ਜੋ ਕਿ ਕਿਸੇ ਵੀ ਨਿਗਰਾਨੀ ਨੂੰ ਬਾਈਪਾਸ ਕਰਦੀਆਂ ਹਨ, ਯਾਨੀ ਕਿ ਸਮਰੱਥਾ ਨੂੰ ਨਸ਼ਟ ਕਰ ਦਿੰਦੀਆਂ ਹਨ। DNS ਟ੍ਰੈਫਿਕ ਨੂੰ ਕੰਟਰੋਲ ਕਰੋ। ਆਦਰਸ਼ਕ ਤੌਰ 'ਤੇ, ਤੁਹਾਨੂੰ HTTPS ਡੀਕ੍ਰਿਪਸ਼ਨ ਫੰਕਸ਼ਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ DoH ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। 

И ਗੂਗਲ ਅਤੇ ਮੋਜ਼ੀਲਾ ਨੇ DoH ਸਮਰੱਥਾਵਾਂ ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਹੈ ਆਪਣੇ ਬ੍ਰਾਉਜ਼ਰਾਂ ਦੇ ਨਵੀਨਤਮ ਸੰਸਕਰਣ ਵਿੱਚ, ਅਤੇ ਦੋਵੇਂ ਕੰਪਨੀਆਂ ਸਾਰੀਆਂ DNS ਬੇਨਤੀਆਂ ਲਈ ਮੂਲ ਰੂਪ ਵਿੱਚ DoH ਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਕੰਮ ਕਰ ਰਹੀਆਂ ਹਨ। ਮਾਈਕ੍ਰੋਸਾਫਟ ਵੀ ਯੋਜਨਾਵਾਂ ਤਿਆਰ ਕਰ ਰਿਹਾ ਹੈ DoH ਨੂੰ ਉਹਨਾਂ ਦੇ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮਾਂ ਵਿੱਚ ਏਕੀਕ੍ਰਿਤ ਕਰਨ 'ਤੇ। ਨਨੁਕਸਾਨ ਇਹ ਹੈ ਕਿ ਨਾ ਸਿਰਫ ਨਾਮਵਰ ਸਾਫਟਵੇਅਰ ਕੰਪਨੀਆਂ, ਸਗੋਂ ਹਮਲਾਵਰਾਂ ਨੇ ਵੀ ਰਵਾਇਤੀ ਕਾਰਪੋਰੇਟ ਫਾਇਰਵਾਲ ਉਪਾਵਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੇ ਸਾਧਨ ਵਜੋਂ DoH ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤੀ ਹੈ। (ਉਦਾਹਰਨ ਲਈ, ਹੇਠਾਂ ਦਿੱਤੇ ਲੇਖਾਂ ਦੀ ਸਮੀਖਿਆ ਕਰੋ: PsiXBot ਹੁਣ Google DoH ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ , PsiXBot ਅੱਪਡੇਟ ਕੀਤੇ DNS ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਨਾਲ ਵਿਕਾਸ ਕਰਨਾ ਜਾਰੀ ਰੱਖਦਾ ਹੈ и ਗੋਡਲੂਆ ਬੈਕਡੋਰ ਵਿਸ਼ਲੇਸ਼ਣ .) ਦੋਵਾਂ ਸਥਿਤੀਆਂ ਵਿੱਚ, ਚੰਗੇ ਅਤੇ ਖਤਰਨਾਕ DoH ਟ੍ਰੈਫਿਕ ਦਾ ਪਤਾ ਨਹੀਂ ਲਗਾਇਆ ਜਾਵੇਗਾ, ਜਿਸ ਨਾਲ ਸੰਗਠਨ ਮਾਲਵੇਅਰ (C2) ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਨ ਅਤੇ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਨੂੰ ਚੋਰੀ ਕਰਨ ਲਈ ਇੱਕ ਨਦੀ ਵਜੋਂ DoH ਦੀ ਖਤਰਨਾਕ ਵਰਤੋਂ ਤੋਂ ਅੰਨ੍ਹਾ ਹੋ ਜਾਵੇਗਾ।

DoH ਟ੍ਰੈਫਿਕ ਦੀ ਦਿੱਖ ਅਤੇ ਨਿਯੰਤਰਣ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣਾ

DoH ਨਿਯੰਤਰਣ ਲਈ ਸਭ ਤੋਂ ਵਧੀਆ ਹੱਲ ਵਜੋਂ, ਅਸੀਂ NGFW ਨੂੰ HTTPS ਟ੍ਰੈਫਿਕ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਅਤੇ DoH ਟ੍ਰੈਫਿਕ (ਐਪਲੀਕੇਸ਼ਨ ਨਾਮ: dns-over-https) ਨੂੰ ਬਲਾਕ ਕਰਨ ਲਈ ਕੌਂਫਿਗਰ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕਰਦੇ ਹਾਂ। 

ਪਹਿਲਾਂ, ਯਕੀਨੀ ਬਣਾਓ ਕਿ NGFW ਨੂੰ HTTPS ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਅਨੁਸਾਰ ਵਧੀਆ ਡਿਕ੍ਰਿਪਸ਼ਨ ਤਕਨੀਕਾਂ ਲਈ ਇੱਕ ਗਾਈਡ.

ਦੂਜਾ, ਐਪਲੀਕੇਸ਼ਨ ਟ੍ਰੈਫਿਕ "dns-over-https" ਲਈ ਇੱਕ ਨਿਯਮ ਬਣਾਓ ਜਿਵੇਂ ਕਿ ਹੇਠਾਂ ਦਿਖਾਇਆ ਗਿਆ ਹੈ:

DNS-ਓਵਰ-HTTPS ਨੂੰ ਬਲਾਕ ਕਰਨ ਲਈ ਪਾਲੋ ਆਲਟੋ ਨੈੱਟਵਰਕ NGFW ਨਿਯਮ

ਇੱਕ ਅੰਤਰਿਮ ਵਿਕਲਪ ਦੇ ਰੂਪ ਵਿੱਚ (ਜੇਕਰ ਤੁਹਾਡੀ ਸੰਸਥਾ ਨੇ HTTPS ਡੀਕ੍ਰਿਪਸ਼ਨ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਲਾਗੂ ਨਹੀਂ ਕੀਤਾ ਹੈ), NGFW ਨੂੰ "dns-over-https" ਐਪਲੀਕੇਸ਼ਨ ਆਈਡੀ 'ਤੇ ਇੱਕ "ਇਨਕਾਰ" ਐਕਸ਼ਨ ਲਾਗੂ ਕਰਨ ਲਈ ਕੌਂਫਿਗਰ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਪਰ ਪ੍ਰਭਾਵ ਕੁਝ ਚੰਗੀਆਂ-ਨੂੰ ਬਲਾਕ ਕਰਨ ਤੱਕ ਸੀਮਿਤ ਹੋਵੇਗਾ- DoH ਸਰਵਰਾਂ ਨੂੰ ਉਹਨਾਂ ਦੇ ਡੋਮੇਨ ਨਾਮ ਦੁਆਰਾ ਜਾਣਿਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਕਿਵੇਂ HTTPS ਡੀਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਬਿਨਾਂ, DoH ਟ੍ਰੈਫਿਕ ਦੀ ਪੂਰੀ ਜਾਂਚ ਨਹੀਂ ਕੀਤੀ ਜਾ ਸਕਦੀ (ਦੇਖੋ  ਪਾਲੋ ਆਲਟੋ ਨੈੱਟਵਰਕਸ ਤੋਂ ਐਪਲੀਪੀਡੀਆ   ਅਤੇ "dns-over-https" ਲਈ ਖੋਜ ਕਰੋ).

TLS (DoT) ਉੱਤੇ DNS

TLS ਦੇ ਅੰਦਰ DNS

ਜਦੋਂ ਕਿ DoH ਪ੍ਰੋਟੋਕੋਲ ਉਸੇ ਪੋਰਟ 'ਤੇ ਦੂਜੇ ਟ੍ਰੈਫਿਕ ਨਾਲ ਰਲਦਾ ਹੈ, DoT ਇਸ ਦੀ ਬਜਾਏ ਉਸ ਇਕੋ ਉਦੇਸ਼ ਲਈ ਰਾਖਵੇਂ ਵਿਸ਼ੇਸ਼ ਪੋਰਟ ਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਡਿਫੌਲਟ ਹੁੰਦਾ ਹੈ, ਇੱਥੋਂ ਤੱਕ ਕਿ ਖਾਸ ਤੌਰ 'ਤੇ ਉਸੇ ਪੋਰਟ ਨੂੰ ਰਵਾਇਤੀ ਅਣਏਨਕ੍ਰਿਪਟਡ DNS ਟ੍ਰੈਫਿਕ ਦੁਆਰਾ ਵਰਤੇ ਜਾਣ ਤੋਂ ਇਨਕਾਰ ਕਰਦਾ ਹੈ ( RFC 7858, ਸੈਕਸ਼ਨ 3.1 ).

DoT ਪ੍ਰੋਟੋਕੋਲ ਐਨਕ੍ਰਿਪਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ TLS ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਜੋ ਕਿ ਜਾਣੇ-ਪਛਾਣੇ ਪੋਰਟ 853 ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਟ੍ਰੈਫਿਕ ਦੇ ਨਾਲ ਮਿਆਰੀ DNS ਪ੍ਰੋਟੋਕੋਲ ਸਵਾਲਾਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰਦਾ ਹੈ। RFC 7858 ਸੈਕਸ਼ਨ 6 ). DoT ਪ੍ਰੋਟੋਕੋਲ ਨੂੰ ਸੰਗਠਨਾਂ ਲਈ ਪੋਰਟ 'ਤੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਰੋਕਣਾ, ਜਾਂ ਟ੍ਰੈਫਿਕ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨਾ ਪਰ ਉਸ ਪੋਰਟ 'ਤੇ ਡੀਕ੍ਰਿਪਸ਼ਨ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਣਾ ਸੌਖਾ ਬਣਾਉਣ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਸੀ।

DoT ਨਾਲ ਜੁੜੇ ਜੋਖਮ

ਗੂਗਲ ਨੇ ਆਪਣੇ ਕਲਾਇੰਟ ਵਿੱਚ DoT ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਹੈ ਐਂਡਰਾਇਡ 9 ਪਾਈ ਅਤੇ ਬਾਅਦ ਵਾਲੇ , ਜੇਕਰ ਉਪਲਬਧ ਹੋਵੇ ਤਾਂ ਆਪਣੇ ਆਪ DoT ਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਪੂਰਵ-ਨਿਰਧਾਰਤ ਸੈਟਿੰਗ ਨਾਲ। ਜੇਕਰ ਤੁਸੀਂ ਜੋਖਮਾਂ ਦਾ ਮੁਲਾਂਕਣ ਕੀਤਾ ਹੈ ਅਤੇ ਸੰਗਠਨਾਤਮਕ ਪੱਧਰ 'ਤੇ DoT ਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਤਿਆਰ ਹੋ, ਤਾਂ ਤੁਹਾਨੂੰ ਇਸ ਨਵੇਂ ਪ੍ਰੋਟੋਕੋਲ ਲਈ ਨੈੱਟਵਰਕ ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੂੰ ਪੋਰਟ 853 'ਤੇ ਆਊਟਬਾਉਂਡ ਟ੍ਰੈਫਿਕ ਨੂੰ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਇਜਾਜ਼ਤ ਦੇਣ ਦੀ ਲੋੜ ਹੈ।

DoT ਟ੍ਰੈਫਿਕ ਦੀ ਦਿੱਖ ਅਤੇ ਨਿਯੰਤਰਣ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣਾ

DoT ਨਿਯੰਤਰਣ ਲਈ ਸਭ ਤੋਂ ਵਧੀਆ ਅਭਿਆਸ ਵਜੋਂ, ਅਸੀਂ ਤੁਹਾਡੀ ਸੰਸਥਾ ਦੀਆਂ ਲੋੜਾਂ ਦੇ ਆਧਾਰ 'ਤੇ ਉਪਰੋਕਤ ਵਿੱਚੋਂ ਕਿਸੇ ਵੀ ਦੀ ਸਿਫ਼ਾਰਸ਼ ਕਰਦੇ ਹਾਂ:

• ਮੰਜ਼ਿਲ ਪੋਰਟ 853 ਲਈ ਸਾਰੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਲਈ NGFW ਨੂੰ ਕੌਂਫਿਗਰ ਕਰੋ। ਟ੍ਰੈਫਿਕ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਨਾਲ, DoT ਇੱਕ DNS ਐਪਲੀਕੇਸ਼ਨ ਵਜੋਂ ਦਿਖਾਈ ਦੇਵੇਗਾ ਜਿਸ 'ਤੇ ਤੁਸੀਂ ਕੋਈ ਵੀ ਕਾਰਵਾਈ ਲਾਗੂ ਕਰ ਸਕਦੇ ਹੋ, ਜਿਵੇਂ ਕਿ ਗਾਹਕੀ ਨੂੰ ਸਮਰੱਥ ਬਣਾਓ ਪਾਲੋ ਆਲਟੋ ਨੈੱਟਵਰਕ DNS ਸੁਰੱਖਿਆ DGA ਡੋਮੇਨ ਜਾਂ ਮੌਜੂਦਾ ਇੱਕ ਨੂੰ ਕੰਟਰੋਲ ਕਰਨ ਲਈ DNS ਸਿੰਖੋਲਿੰਗ ਅਤੇ ਐਂਟੀ-ਸਪਾਈਵੇਅਰ।

• ਇੱਕ ਵਿਕਲਪ ਇਹ ਹੈ ਕਿ ਐਪ-ਆਈਡੀ ਇੰਜਣ ਨੂੰ ਪੋਰਟ 853 'ਤੇ 'dns-over-tls' ਟ੍ਰੈਫਿਕ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਬਲੌਕ ਕੀਤਾ ਜਾਵੇ। ਇਹ ਆਮ ਤੌਰ 'ਤੇ ਮੂਲ ਰੂਪ ਵਿੱਚ ਬਲੌਕ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਕਿਸੇ ਕਾਰਵਾਈ ਦੀ ਲੋੜ ਨਹੀਂ ਹੁੰਦੀ ਹੈ (ਜਦੋਂ ਤੱਕ ਤੁਸੀਂ ਖਾਸ ਤੌਰ 'ਤੇ 'dns-over-tls' ਐਪਲੀਕੇਸ਼ਨ ਜਾਂ ਪੋਰਟ ਟ੍ਰੈਫਿਕ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦੇ ਹੋ) 853)।

ਸਰੋਤ: www.habr.com