זיהוי איומים מתקדם באמצעות DNS Armor

‫DNS Armor, שמופעל על ידי Infoblox, הוא שירות מנוהל מלא שמספק אבטחה ברמת ה-DNS לעומסי העבודה שלכם ב- Google Cloud , בלי שנדרשת התקנה נוספת של תוכנה. הכלי לזיהוי איומים מתקדם נועד לזהות פעילות זדונית בשלב המוקדם ביותר בשרשרת התקיפה – שאילתת ה-DNS – בלי להוסיף מורכבות תפעולית או תקורה של ביצועים. בדיקת האיומים נתמכת במכונות Compute Engine ובמכונות GKE.

‫DNS Armor מאפשר לעבד ולנתח שאילתות DNS ישירות בתשתית הענן הקיימת. כך לא צריך להפנות תנועת נתונים רגישה לשרת proxy של צד שלישי.

אחרי זיהוי איום, אפשר לקבל תובנות פרקטיות לגבי איומי DNS באמצעות Cloud Logging.

איך DNS Armor פועל

כשמפעילים גלאי איומים ב-DNS עבור פרויקט, DNS Armor שולח בצורה מאובטחת את יומני שאילתות ה-DNS שמופנות לאינטרנט לפריסה הייעודית של מנוע האיומים של Infoblox בתוך Google Cloud. המנוע הזה משתמש בשילוב של פידים של מודיעין איומים וניתוח התנהגותי מבוסס-AI כדי לזהות איומים.

כל פעילות חשודה או זדונית שתזוהה תיצור באופן אוטומטי יומן איומים של DNS Armor, שיישלח בחזרה לפרויקט וייכתב ב-Cloud Logging כדי שתוכלו לצפות בו ולפעול בהתאם.

באמצעות זיהוי האיומים המתקדם של DNS Armor, אתם יכולים לזהות איומים, כמו האיומים הבאים:

  • מנהור DNS לזליגת נתונים: שאילתות DNS שמובנות כך שיעבירו נתונים מהרשת שלכם באופן סודי, ולעתים קרובות יעקפו חומות אש מסורתיות.
  • שליטה ובקרה (C2) של תוכנות זדוניות: תקשורת DNS מנפח עבודה שנפרץ ומנסה ליצור קשר עם השרת של התוקף כדי לקבל הוראות.
  • אלגוריתמים ליצירת דומיינים (DGA): שאילתות DNS לדומיינים שנראים אקראיים, שנוצרו על ידי מכונה, שתוכנות זדוניות יוצרות כדי למצוא את שרתי הפיקוד והבקרה שלהן ולהתחבר אליהם.
  • Fast Flux: שאילתות DNS לדומיינים שמשנים במהירות את כתובות ה-IP המשויכות שלהם. זו טכניקה שמשמשת כדי להקשות על מעקב אחר תשתית זדונית וחסימתה.
  • DNS של יום אפס: שאילתות DNS לדומיינים חדשים שרשומים, שמופעלים על ידי תוקפים לפעילויות זדוניות לפני שהדומיינים האלה מפתחים מוניטין רע ידוע.
  • הפצת תוכנות זדוניות: שאילתות DNS לדומיינים זדוניים ודומיינים בסיכון גבוה, שנמצאים בבעלות של גורמים שיוצרים איומים, שידוע שמארחים או מפיצים תוכנות זדוניות, או שיכולים לארח או להפיץ תוכנות זדוניות בעתיד.
  • דומיינים דומים: שאילתות DNS לדומיינים שכבר ידוע שהם זדוניים, עם איות שגוי או פורמט שנועדו לגרום להם להיראות כמו מותגים לגיטימיים ומהימנים.
  • ערכות ניצול לרעה: שאילתות DNS לאתרים שמנסים לנצל באופן אוטומטי פגיעויות בעומסי עבודה בענן כדי להתקין תוכנות זדוניות.
  • איומים מתמשכים מתקדמים (APT): שאילתות DNS לדומיינים שמשויכים לקמפיינים ממוקדים של מתקפות לטווח ארוך, שלרוב מבוצעים על ידי קבוצות מתוחכמות למטרות ריגול או גניבת נתונים.

פעולה של גלאי איומים

השירות לזיהוי איומים מתקדמים מוגדר באופן גלובלי וזמין ברמת הפרויקט, אבל הוא פועל באופן עצמאי בכל אזור (במאמר מיקומי DNS Armor מופיעה רשימה של האזורים הנתמכים). עם זאת, ההגדרה של הכלי לזיהוי איומים ב-DNS זהה ללא קשר לאזור המקומי שבו מתבצע ניתוח האיומים. אפשר להפעיל אותו בכל רשתות ה-VPC בפרויקט, עם אפשרות להחריג עד 100 רשתות ספציפיות.

מנועי הזיהוי נפרסים ברמה האזורית ומקבלים תנועת DNS מאותו אזור. לדוגמה, תנועת DNS מלקוח ב-us-central1 מועברת למנוע זיהוי שפרוס ב-us-central1.

שם דומיין יחיד יכול להתאים לכמה קטגוריות של איומים. במקרה כזה, יוצגו לכם כמה אירועי איום לאותה שאילתת DNS.

‫DNS Armor לא תלוי בפענוח שאילתות. ניתוח האיומים מתבצע באופן אסינכרוני אחרי רזולוציית השאילתה, כך שלא נוסף זמן אחזור נוסף לנתיב רזולוציית ה-DNS בפועל בעומס העבודה. הפעלה או השבתה של יומני זרימה רגילים של VPC או של יומני שאילתות DNS לא ישפיעו על הפעולה של DNS Armor.

בדיקת איומים בשרשראות CNAME

ב-DNS Armor יש גם אפשרות לבדוק איומים בשרשראות של רשומות DNS CNAME. השאילתה תהיה בתחום אם השם הראשון בתרגום השאילתה הוא רשומת CNAME ציבורית.

אם דומיין בשרשרת CNAME מפעיל ממצא איום, נוצרת רשומת יומן איומים אחת עבור השאילתה. השדה dnsQuery.queryName מכיל את הדומיין הראשוני שנשלחה אליו שאילתה על ידי עומס העבודה, והשדה threatInfo.threatIndicator מכיל את הדומיין הספציפי בשרשרת שהפעיל את הזיהוי.

החרגות של זיהוי איומים

התחומים הבאים לא נכללים בבדיקה של DNS Armor:

  • החרגת VPC: רשת ה-VPC נמצאת ברשימת ההחרגות של DNS Armor.
  • עומסי עבודה והגדרות שלא נתמכים:
    • Serverless: אין תמיכה ב-Cloud Run, בפונקציות Cloud Run ובסביבות רגילות של App Engine.
    • עקיפה של רכיב ה-resolver של Cloud DNS: שאילתות מעומסי עבודה שהוגדרו לעקוף את Cloud DNS ‏ (169.254.169.254) ולשלוח שאילתות ישירות לשרת או לשירות DNS אחר, כמו 8.8.8.8, לא נתמכות.
    • תצורות של רשתות מרכזיות ורשתות משנה שמבוססות על DNS: אם רשתות משנה של VPC משויכות לאזורי DNS שכנים (כמו אזור . בבסיס) כדי להעביר את כל השאילתות, כולל שאילתות שמופנות לאינטרנט, לרשת מרכזית של VPC, השאילתות האלה לא נבדקות. הסיבה לכך היא שהשאילתות תואמות לאזור פירינג במקור, והמערכת מתייחסת אליהן כתנועה פנימית גם ב-VPC המרכזי וגם ב-VPC המשני.
  • Non-internet path resolution:
    • Internal VPC resolution:
      • DNS פנימי של Compute Engine: שאילתות לגבי שמות DNS פנימיים שמוגדרים כברירת מחדל
      • תחומים פרטיים ב-Cloud DNS: שאילתות לגבי רשומות בתחומים מנוהלים פרטיים ב-Cloud DNS, כולל תחומים שמשולבים עם Service Directory.
    • סביבות היברידיות: תעבורת DNS בין רשת VPC לבין רשתות פרטיות שמחוברות באמצעות Cloud VPN או Cloud Interconnect באמצעות מדיניות שרת Cloud DNS או אזורי העברה:
      • שאילתות יוצאות או נכנסות מ-VPC אל סביבות היברידיות ומסביבות היברידיות אל VPC.

החרגות של שאילתות

דומיינים ברמה עליונה (TLD) שמורים .internalו-RFC 2606 מושמטים באופן מקורי על ידי Cloud DNS ולא מחויבים. הם כוללים את .test,‏ .example,‏ .invalid ו-.localhost.

מגבלות

אלו המגבלות של DNS Armor.

  • רזולוציית DNS פרטי: DNS Armor בודק רק תעבורת DNS שיוצאת לאינטרנט.

  • עומסי עבודה (workloads) ללא שרת (Cloud Run): DNS Armor לא בודק שאילתות DNS מעומסי עבודה ללא שרת.

  • העברה נכנסת: DNS Armor לא בודק שאילתות שנשלחות לנקודות קצה של העברה נכנסת ב-Cloud DNS.

  • אזורי DNS בפירינג: DNS Armor לא בודק שאילתות (גם לא שאילתות שמופנות לאינטרנט) שעוברות דרך חיבורי פירינג של DNS.

  • ‫Secure Web Proxy: ‏ DNS Armor לא בודק שאילתות DNS שמועברות על ידי Secure Web Proxy.

השפעה על החיוב

החיוב מתבצע על סמך מספר שאילתות ה-DNS שמופנות לאינטרנט שנוצרות בעומסי העבודה שלכם, ועל ניתוח האיומים שמתבצע עליהן. רשימת ההחרגות זמינה במאמר החרגות בכלי לזיהוי איומים.

בנוסף, DNS Armor משפיע על החיוב ב-Cloud Logging, כי הממצאים לגבי איומים נכתבים בחשבון Cloud Logging של הפרויקט. מידע נוסף מופיע במאמר בנושא תמחור של Google Cloud Observability: ‏Cloud Logging.

מידע נוסף על הערכת נפח השאילתות ועל אופטימיזציה של העלויות ב-DNS Armor זמין במאמר הערכה ואופטימיזציה של עלויות ב-DNS Armor.

למידע נוסף על התמחור הכללי של Cloud DNS, אפשר לעיין במאמר בנושא תמחור של Cloud DNS.

אפשרויות אבטחה אחרות

בנוסף ל-DNS Armor, אפשרות אבטחה נוספת שזמינה היא Google Security Operations. צריך להגדיר את השירות הזה באופן ידני בפרויקט.

‫Google Security Operations הוא שירות שמבצע נרמול, הוספה לאינדקס, קישור וניתוח של נתוני טלמטריה של אבטחה ורשתות. מידע נוסף זמין במאמרי העזרה בנושא Google SecOps.

המאמרים הבאים