Yksinkertaisimmillaan DNS Firewall estää ja ohjaa loppukäyttäjiä menemästä haitallisille verkkosivuille, samoin kuten perinteisetkin palomuurit. Keskeinen ero näiden välillä on se, että DNS Firewall -palvelua käytetään eri verkkokerroksessa ja eri vaiheessa. Palvelun uhkasyötteitä (Intelligence Threat Feeds) käytetään verkon nimipalvelimessa (DNS). Tämä menetelmä palauttaa tietoliikenteeseen näkyvyyttä, jonka perinteiset palomuurit ovat menettäneet lisääntyneen salatun end to end -liikenteen — kuten VPN-ratkaisujen — vuoksi.
Miksi DNS Firewall -palvelua pitäisi sitten käyttää?
Sen lisäksi, että DNS Firewall suojaa käyttäjiä identiteettivarkauksilta, haittaohjelmien asennuksilta ja tietovuodoilta tms., on useita muitakin syitä käyttää palvelua osana monikerroksista tietoturvaa.
Miten DNS Firewall otetaan käyttöön?
DNS Firewall -palvelu voidaan ottaa käyttöön kolmella eri tavalla. On hyvä huomata, että kaikissa tavoissa käytetään samoja uhkasyötteitä, joiden avulla tunnistetaan rikolliset domainit. Kyse on vain siitä, kuinka syötteitä hyödynnetään käytännössä.
Paikallinen (on-prem) avoimen lähdekoodin nimipalvelin
Uhkatieto välitetään AXFR/IXFR:n kautta DNS-resolveriin zone-tiedostoina. Alun perin DNS Firewall suunniteltiin avoimeksi ja käännettäväksi sovellukseksi, jonka alkuperäinen ”koti” on BIND. Nykyään myös muut nimipalvelimet, kuten PowerDNS, Knot ja Unbound, tukevat DNS Firewallin uhkasyötteiden käyttöä.
Paikallinen infra
Järjestelmä, joka on sisäverkossa ja toimii DNS-tietoturvainfran hallintajärjestelmänä, joka käyttää DNS Firewallin uhkasyötteitä. Järjestelmästä ja sen toimittajasta riippuu kuinka joustavasti haluttuja uhkasyötteitä voidaan valita ja käyttää.
Tuetut DNS-laitteet (DDIs): Infoblox, Efficient IP ja Bluecat.
Pilvipalvelut
Miten DNS Firewall toimii?
Tarkastellaan lähemmin DNS Firewall -palvelun toimintaa.
Tavanomaiset DNS-resolverit (ilman DNS Firewall -palvelua). Kun käyttäjä yrittää siirtyä verkkosivulle tai domainiin, resolver lähettää pyynnön ensin juuripalvelimen, sitten ylätason domainille ja lopuksi itse sivustolle, joka viimein vastaa käyttäjälle. Käyttäjän pyyntö päästä sivustolle toteutuu — oli sivusto haitallinen tai ei.
DNS-resolveri ja DNS Firewall. Edellä kuvatun prosessin aikana tehdään kysely ”vyöykkeille” (zones), jotka sisältävät Spamhausin keräämää uhkatietoa. Kohteena oleva domainin tiedoista tarkistetaan, onko se DNS Firevallin syötteessä; ja jos se löytyy, käyttäjältä estetään pääsy sivustolle tai hänet ohjataan toisaalle.
Alla on esimerkkejä siitä, mitä käyttäjä näkee, jos hän yrittää päästä tiedonkalastelusivulle.
Kun DNS Firewall on käytössä, tietojenkalastelusivulle yrittävältä käyttäjältä estetään pääsy sivulle, ja näin käyttäjää suojataan mahdollisilta haitoilta. Kun suojaus on tapahtunut DNS-tasolla, käyttäjän työasemaan ei tarvitse asentaa erillistä lisäohjelmaa.
Mitä seuraavaksi?
DNS Firewall -palvelun käyttö vapauttaa verkosta vastaavien aikaa muihin tehtäviin ja näin auttaa ennakoitavan, ei-reaktiivisen verkon käyttökokemuksen organisaation kaikille käyttäjille.
DNS Firewall -palvelua voi kokeilla maksutta 30 päivän ajan. https://www.spamhaus.com/free-trial/free-30-day-trial-for-dns-firewall-threat-feeds/
Spamhaus Botnet Threat Update Q1/2021: Emotet on poissa, mutta muita uhkia on tullut tilalle
Spamhausin raportissa tuodaan heti esille hyvä uutinen. Tammikuussa 2021 eri maiden viranomaiset Euroopassa ja Yhdysvalloissa käynnistivät operaation pahamaineista Emotet-botnetia vastaan. Operaatiossa viranomaisten onnistuivat sulkemaan Emotetin käyttämät palvelimet.
Kymmenen kysymystä potentiaaliselle DNS -palomuuripalvelun toimittajalle
Tässä kirjoituksessa esitellään muutamia keskeisiä kysymyksiä, jotka on hyvä esittää potentiaaliselle DNS -tasolla toimivan palomuurin toimittajalle (ja myös omassa organisaatiossasi, jotta varmistetaan, että yritykseen valitaan oikea palvelu. Aloitetaan perusasioista.
Spamhaus DNS Firewall – Lyhyt johdanto
Yksinkertaisimmillaan DNS Firewall estää ja ohjaa loppukäyttäjiä menemästä haitallisille verkkosivuille, samoin kuten perinteisetkin palomuurit. Keskeinen ero näiden välillä on se, että DNS Firewall -palvelua käytetään eri verkkokerroksessa ja eri vaiheessa.
