Erweiterte Bedrohungserkennung mit DNS Armor

DNS Armor, basierend auf Infoblox, ist ein vollständig verwalteter Dienst, der Sicherheit auf DNS-Ebene für Ihre Google Cloud Arbeitslasten bietet, ohne dass eine weitere Softwareinstallation erforderlich ist. Der erweiterte Bedrohungsdetektor wurde entwickelt, um schädliche Aktivitäten so früh wie möglich in der Angriffskette zu erkennen – bei der DNS-Anfrage –, ohne die betriebliche Komplexität oder den Leistungs-Overhead zu erhöhen. Die Überprüfung auf Bedrohungen wird für Compute Engine- und GKE-Instanzen unterstützt.

Mit DNS Armor können DNS-Abfragen direkt in Ihrer vorhandenen Cloud-Infrastruktur verarbeitet und analysiert werden. Dadurch ist es nicht mehr erforderlich, vertraulichen Datenverkehr an einen Drittanbieterproxy weiterzuleiten.

Nachdem eine Bedrohung erkannt wurde, können Sie über Cloud Logging umsetzbare Informationen zu DNS-Bedrohungen erhalten.

Funktionsweise von DNS Armor

Wenn Sie einen DNS-Bedrohungsdetektor für ein Projekt aktivieren, sendet DNS Armor Ihre internetgebundenen DNS-Abfragelogs sicher an die dedizierte Bereitstellung der Infoblox-Bedrohungs-Engine in Google Cloud. Diese Engine verwendet eine Kombination aus Threat Intelligence-Feeds und KI-basierter Verhaltensanalyse, um Bedrohungen zu erkennen.

Bei verdächtigen oder schädlichen Aktivitäten wird automatisch ein DNS Armor-Bedrohungslog generiert, das an Ihr Projekt zurückgesendet und in Cloud Logging geschrieben wird, damit Sie es aufrufen und darauf reagieren können.

Mit der erweiterten Bedrohungserkennung von DNS Armor können Sie Bedrohungen wie die folgenden erkennen:

  • DNS-Tunneling für Datenexfiltration: DNS-Abfragen, die so strukturiert sind, dass Daten heimlich aus Ihrem Netzwerk übertragen werden, wobei häufig herkömmliche Firewalls umgangen werden.
  • Malware Command & Control (C2): DNS-Kommunikation von einer kompromittierten Arbeitslast, die versucht, den Server eines Angreifers zu kontaktieren, um Anweisungen zu erhalten.
  • Domain Generation Algorithms (DGA): DNS-Abfragen an zufällig aussehende, maschinell generierte Domains, die von Malware erstellt werden, um die Command-and-Control-Server zu finden und eine Verbindung zu ihnen herzustellen.
  • Fast Flux: DNS-Anfragen an Domains, deren zugehörige IP-Adressen sich schnell ändern. Diese Technik wird verwendet, um schädliche Infrastruktur schwerer nachzuverfolgen und zu blockieren.
  • Zero-Day-DNS: DNS-Abfragen an neu registrierte Domains, die Angreifer für schädliche Aktivitäten verwenden, bevor diese Domains einen bekannten schlechten Ruf entwickeln.
  • Malware-Verbreitung: DNS-Anfragen an schädliche und risikoreiche Domains, die von Angreifern betrieben werden und auf denen bekanntermaßen Malware gehostet oder verbreitet wird oder auf denen in Zukunft Malware gehostet oder verbreitet werden könnte.
  • Lookalike-Domains: DNS-Abfragen an Domains, die bereits als schädlich bekannt sind und die absichtlich falsch geschrieben oder so formatiert sind, dass sie wie legitime, vertrauenswürdige Marken aussehen.
  • Exploit-Kits: DNS-Anfragen an Websites, die versuchen, automatisch Sicherheitslücken in Cloud-Arbeitslasten auszunutzen, um Malware zu installieren.
  • Advanced Persistent Threats (APT): DNS-Anfragen an Domains, die mit gezielten, langfristigen Angriffskampagnen in Verbindung stehen, die häufig von ausgeklügelten Gruppen für Spionage oder Datendiebstahl durchgeführt werden.

Funktionsweise von Bedrohungsdetektoren

Die erweiterte Bedrohungserkennung ist ein global konfigurierter Dienst, der auf Projektebene verfügbar ist, aber in jeder Region unabhängig funktioniert (eine Liste der unterstützten Regionen finden Sie unter DNS Armor-Standorte). Die Konfiguration des DNS-Bedrohungsdetektors ist jedoch unabhängig von der lokalen Region, in der Bedrohungen analysiert werden. Sie kann für alle VPC-Netzwerke in einem Projekt aktiviert werden. Dabei können bis zu 100 bestimmte Netzwerke ausgeschlossen werden.

Erkennungs-Engines werden regional bereitgestellt und empfangen DNS-Traffic aus derselben Region. DNS-Traffic von einem Client in us-central1 wird beispielsweise an eine in us-central1 bereitgestellte Erkennungs-Engine weitergeleitet.

Ein einzelner Domainname kann mehreren Bedrohungskategorien entsprechen. In diesem Fall werden mehrere Bedrohungsereignisse für dieselbe DNS-Abfrage angezeigt.

DNS Armor ist unabhängig von der Auflösung von Anfragen. Die Bedrohungsanalyse wird asynchron nach der Abfrageauflösung durchgeführt. Dadurch wird dem tatsächlichen DNS-Auflösungspfad in der Arbeitslast keine zusätzliche Latenz hinzugefügt. Das Aktivieren oder Deaktivieren von Standard-VPC-Flusslogs oder DNS-Abfragelogs hat ebenfalls keine Auswirkungen auf den Betrieb von DNS Armor.

Bedrohungsprüfung für CNAME-Ketten

Die Bedrohungsprüfung für DNS-CNAME-Ketten ist auch mit DNS Armor verfügbar. Die Anfrage fällt in den Geltungsbereich, wenn der Vorname in der Anfrageauflösung ein öffentlicher CNAME-Eintrag ist.

Wenn eine Domain in einer CNAME-Kette ein Ergebnis für eine Bedrohung auslöst, wird für die Abfrage ein einzelner Bedrohungs-Logeintrag generiert. Das Feld dnsQuery.queryName enthält die von Ihrer Arbeitslast abgefragte ursprüngliche Domain und das Feld threatInfo.threatIndicator die spezifische Domain in der Kette, die die Erkennung ausgelöst hat.

Ausschlüsse für Bedrohungsdetektoren

Folgendes ist von der DNS Armor-Prüfung ausgeschlossen:

  • VPC-Ausschluss: Das VPC-Netzwerk befindet sich auf der Ausschlussliste von DNS Armor.
  • Nicht unterstützte Arbeitslasten und Konfigurationen:
    • Serverlos: Cloud Run, Cloud Run Functions und App Engine-Standardumgebungen werden nicht unterstützt.
    • Cloud DNS-Resolver umgehen: Anfragen von Arbeitslasten, die so konfiguriert sind, dass Cloud DNS (169.254.169.254) umgangen und Anfragen direkt an einen anderen DNS-Server oder -Dienst wie 8.8.8.8 gesendet werden, werden nicht unterstützt.
    • Hub-and-Spoke-Designs auf DNS-Basis: Wenn Spoke-VPC-Netzwerke mit DNS-Peering-Zonen (z. B. einer .-Root-Zone) verknüpft sind, um alle Abfragen, einschließlich internetgebundener Abfragen, an ein zentrales Hub-VPC-Netzwerk weiterzuleiten, werden diese Abfragen nicht geprüft. Das liegt daran, dass die Anfragen an der Quelle mit einer Peering-Zone übereinstimmen und sowohl in der Hub- als auch in der Spoke-VPC als interner Traffic behandelt werden.
  • Auflösung von Pfaden ohne Internetverbindung:
    • Interne VPC-Auflösung:
      • Internes Compute Engine-DNS: Anfragen für standardmäßige interne DNS-Namen
      • Private Cloud DNS-Zonen: Anfragen für Einträge in privaten verwalteten Cloud DNS-Zonen, einschließlich Zonen, die in Service Directory eingebunden sind.
    • Hybride Umgebungen: DNS-Traffic zwischen einem VPC-Netzwerk und privaten Netzwerken, die über Cloud VPN oder Cloud Interconnect mit Cloud DNS-Serverrichtlinien oder Weiterleitungszonen verbunden sind:
      • Ausgehende oder eingehende Anfragen von der VPC an und von Hybridumgebungen.

Ausschlüsse von Anfragen

Die folgenden Top-Level-Domains (TLDs) werden von Cloud DNS nativ ausgeschlossen und es fallen keine Gebühren an:

RFC 2606-TLDs werden ebenfalls nativ ausgeschlossen und es fallen keine Gebühren an:

  • .test
  • .example
  • .invalid
  • .localhost

Beschränkungen

Für DNS Armor gelten die folgenden Limits.

  • Private DNS-Auflösung: DNS Armor untersucht nur DNS-Traffic, der für das Internet bestimmt ist.

  • Serverlose Arbeitslasten (Cloud Run): DNS Armor untersucht keine DNS-Abfragen von serverlosen Arbeitslasten.

  • Eingehende Weiterleitung: DNS Armor untersucht keine Anfragen, die an Cloud DNS-Endpunkte für die eingehende Weiterleitung gesendet werden.

  • DNS-Peering-Zonen: DNS Armor untersucht keine Abfragen (auch keine internetgebundenen Abfragen), die über DNS-Peering-Verbindungen übertragen werden.

  • Secure Web Proxy: DNS Armor untersucht keine DNS-Anfragen, die von Secure Web Proxy gesendet werden.

Auswirkungen auf die Abrechnung

Die Abrechnung erfolgt basierend auf der Anzahl der internetgebundenen DNS-Abfragen, die von Ihren Arbeitslasten generiert werden und für die eine Bedrohungsanalyse durchgeführt wird. Eine Liste der Ausschlüsse finden Sie unter Threat Detector-Ausschlüsse.

DNS Armor wirkt sich auch auf Ihre Cloud Logging-Rechnung aus, da Bedrohungsbefunde in das Cloud Logging-Konto Ihres Projekts geschrieben werden. Weitere Informationen finden Sie unter Preise für Google Cloud Observability: Cloud Logging.

Weitere Informationen zum Schätzen des DNS Armor-Abfragevolumens und zur Kostenoptimierung finden Sie unter DNS Armor-Kostenschätzung und ‑optimierung.

Weitere Informationen zu den allgemeinen Cloud DNS-Preisen finden Sie unter Cloud DNS-Preise.

Weitere Sicherheitsoptionen

Neben DNS Armor ist Google Security Operations eine weitere verfügbare Sicherheitsoption. Dieser Dienst muss manuell in Ihrem Projekt konfiguriert werden.

Google Security Operations ist ein Dienst, der Sicherheits- und Netzwerktelemetriedaten normalisiert, indexiert, korreliert und analysiert. Weitere Informationen finden Sie in der Google SecOps-Dokumentation.

Nächste Schritte