最近、内部DNSサーバーに外部フォワーダーを追加しないことでネットワーク内のマシンからの外部DNS解決を無効にする会社で働き始めました-理由この背後にあるのはセキュリティのためです。
私には少し手間がかかるようで、会社がより多くのクラウドサービスに移行するにつれて、問題が発生します。
誰かが方法を提案できますかセキュリティを提供するために妥協点に達する可能性がありますか？外部フォワーダーを使用する必要があると考えていましたが、フィルタリングを適用します（例： https://docs.microsoft.com/en-us/windows-server/networking/dns/deploy/apply-filters-on-dns-queries ）
コメント
- セットアップが正確に何であるか、どのような問題があるのかは私にはよくわかりません。すべてのルックアップ自体を実行する内部NS（つまり、ネットワーク全体の再帰リゾルバー）。各マシンまたはVMイメージにそのようなNSがありますか？また、クラウドサービスを使用する場合、これはどの程度問題になりますか？
- はActive Directory環境であるため、すべてのDNSサーバーが内部DNSゾーンを複製します（例： servername.company.local）が相互に存在するため、内部リソースのルックアップは問題なく無制限ですが、クラウドプロバイダーのDNSアドレスをルックアップする必要がある場合、これは現在ブロックされています。たとえば、office365.comの外部ルックアップはwon '解決しません。私の考えは、DNSフィルタリングまたは条件付きフォワーダーをファイアウォールルールと組み合わせて使用し、適切なIP範囲へのアクセスを許可して、クライアントマシンがこれらのサービスのためにインターネットに直接アクセスできるようにすることです。
- まず、コメントだけでなく、質問でもそのような重要な情報を提供してください。しかし、あなたの質問に対して：攻撃対象領域を制限することは常に有益であり、外部へのアクセスを制限することは攻撃対象領域を制限するのに役立ちます。しかし、あなたの特定のケースでは、現在のポリシーもあなたがしなければならない仕事を推測しているように見えます。この場合、ローカルシステム管理者と問題について話し合う必要があります。提案された解決策が可能であり、特定のケースでの最善の方法が不明な場合。
回答
ファイアウォールの場合正しく構成されている場合、DNSはネットワークに出入りする方法です。セキュリティレベルによっては、必要のない場所でDNSをブロックすると、強化に役立つ場合があります。
セキュリティコンサルタントとして、サーバー側のリクエストの偽造が制限されているシステムにいることは珍しくありません。その他のサーバー側の脆弱性。一部のお客様は、ファイアウォールを非常に適切に構成しているため、ファイアウォールを使用してさらに進んでいくことはできませんが、DNSを使用すると、通常はネットワークについて詳しく知ることができ、場合によっては便利なデータトンネルを設定できます。このような場合、DNSを無効にすることが棺桶の最後の釘になります。
問題が発生します
これがリスクです。DNSを無効にして誰かが必要とする場合（たとえば、apt update）、システム管理者が醜い回避策を使用するリスクがあります。ネットワークの安全性を高めるのではなく、安全性を低くします。適切に作業を行うことができない場合は、DNSを完全に無効にすることは正しい選択ではありません。
制限付きリゾルバーが解決策になるでしょうか？ローカルホストまたは専用システムで実行でき、ドメインのホワイトリストのみを解決するように構成できます。 「データとアプリケーションを他の人のコンピューター（「クラウド」）に移動する」とおっしゃっているので、会社が使用しているSaaS / * aaSサービスに属するドメインを解決するだけでよいようです。
*.cloudCorp.example.comのようなホワイトリストに登録すると、攻撃者がcloudCorpでVPSを購入し、一致するドメイン名を取得できる可能性があるという落とし穴があります。それは気をつけるべきことでしょう。ただし、これが避けられない場合でも（そして、それが与えられていない場合でも）、すべてのDNSクエリを許可するよりも優れています。
回答
DNSは、どのシステムが外の世界の誰と話しているのかを可視化するための主要な手段であるため、セキュリティチームにとって重要です。そのため、セキュリティチームはすべてのルックアップを一元化し、リクエストの&応答をログに記録する必要があります。
DNSデータの漏えい、DNSトンネリングなどの攻撃手段はたくさんあります。 DNSポイズニング、およびコマンドと制御としてのDNS。セキュリティチームにとってDNSの制御は重要です。
ブロックされているものとブロックされていないものについては、特定のチームと協力して検討する必要があります。 / administratorsですがはいDNSセキュリティとロギングはすべての企業にとって重要です。