Minimierung des Risikos der Verwendung von DNS-over-TLS (DoT) und DNS-over-HTTPS (DoH)

DoH- und DoT-Schutz

Haben Sie die Kontrolle über Ihren DNS-Verkehr? Unternehmen investieren viel Zeit, Geld und Mühe in die Sicherung ihrer Netzwerke. Ein Bereich, der häufig übersehen wird, ist jedoch DNS.

Ein guter Überblick über die von DNS ausgehenden Risiken ist die Präsentation von Verisign auf der Infosecurity-Konferenz.

. Palo Alto Networks Unit 42, 85% DNS , , . DNS NGFW. 

DNS, DNS . . DNS-. DNS, , . , , DNS . . Garmin, ,  10 .

NGFW DNS-over-TLS (DoT) DNS-over-HTTPS (DoH), DNS .

DNS?

DNS , . DNS DNS- . DNS Man-in-the-Middle, , DNS ( ) . 

DNS:

1. DNS-over-HTTPS (DoH)

2. DNS-over-TLS (DoT)

: DNS- ... . TLS (Transport Layer Security) , , , DNS, , DNS.

DNS . , , . , DoH DoT.

DNS over HTTPS (DoH)

DoH 443 HTTPS, RFC , , « DoH HTTPS », « DNS» , , ( RFC 8484 DoH, 8.1 ). DoH TLS , HTTPS HTTP/2, DNS HTTP.

, DoH

HTTPS- DoH, ( ) DNS, DoH, , DNS . DoH HTTPS. 

 Google, Mozilla DoH  , DoH DNS. Microsoft   DoH . , - , DoH . ( , : PsiXBot Google DoH , PsiXBot DNS   Godlua .) , , DoH , DoH (C2) .

DoH

DoH NGFW HTTPS DoH ( : dns-over-https). 

-, , NGFW HTTPS,   .

-, «dns-over-https», :

( HTTPS) NGFW «» «dns-over-https», DoH , HTTPS DoH (.  Applipedia Palo Alto Networks   «dns-over-https»).

DNS over TLS (DoT)

DoH , DoT , , DNS ( RFC 7858 , 3.1 ).

DoT TLS , DNS, , 853 ( RFC 7858, 6 ).  DoT , , , .

, DoT

Google DoT  Android 9 Pie  , DoT, . DoT , , 853 .

DoT

DoT , :

• Konfigurieren Sie NGFW so, dass der gesamte Datenverkehr für den Zielport 853 entschlüsselt wird. Durch das Entschlüsseln des Datenverkehrs wird DoT als DNS-Anwendung angezeigt, für die Sie beliebige Maßnahmen ergreifen können, z. B. das DNS-Sicherheitsabonnement von Palo Alto Networks aktivieren, um   DGA-Domänen oder vorhandene DNS-Sinkholing  und Anti zu steuern  -Spyware.

• Alternativ kann die App-ID-Engine den 'dns-over-tls'-Verkehr auf Port 853 vollständig blockieren. Sie ist normalerweise standardmäßig blockiert, es sind keine Aktionen erforderlich (es sei denn, Sie erlauben ausdrücklich die' dns-over-tls'-Anwendung oder den Verkehr auf dem Port 853).