如何構(gòu)建內(nèi)外雙循環(huán)的安全防護(hù)體系？
網(wǎng)絡(luò)攻擊高漲，全球網(wǎng)安事件頻發(fā)
域名系統(tǒng)（Domain Name System）是互聯(lián)網(wǎng)的一項(xiàng)核心基礎(chǔ)服務(wù)，使用分布式數(shù)據(jù)庫(kù)將互聯(lián)網(wǎng)上的域名與IP地址相互映射，能夠使人更方便地訪問(wèn)互聯(lián)網(wǎng)。
作為網(wǎng)絡(luò)的第一道大門，有著“全球網(wǎng)絡(luò)導(dǎo)航”的稱謂，在用戶對(duì)域名發(fā)起訪問(wèn)時(shí)，DNS可以根據(jù)資源名稱（域名）來(lái)查找和定位互聯(lián)網(wǎng)上的資源位置（IP地址），因此DNS可以說(shuō)是用戶訪問(wèn)互聯(lián)網(wǎng)的第一跳。
由于DNS系統(tǒng)在網(wǎng)絡(luò)互聯(lián)中的特殊作用，其越來(lái)越受到網(wǎng)絡(luò)攻擊行為的關(guān)注，域名成為增長(zhǎng)最為明顯、破壞力最強(qiáng)的攻擊方式之一。如果域名系統(tǒng)遭遇攻擊或發(fā)生故障，用戶將無(wú)法通過(guò)域名訪問(wèn)對(duì)應(yīng)的站點(diǎn)，或者解析錯(cuò)誤把用戶引導(dǎo)至錯(cuò)誤的網(wǎng)站。
據(jù)數(shù)據(jù)顯示，全球約有68%的企業(yè)忽略對(duì)DNS系統(tǒng)的防護(hù)，缺乏對(duì)DNS解析有效的監(jiān)測(cè)和防御，導(dǎo)致在DNS遭受攻擊時(shí)，無(wú)法及時(shí)發(fā)現(xiàn)并進(jìn)行防御和阻斷。
EfficientIP與IDC合作發(fā)布的《2022年全球DNS威脅報(bào)告》指出，在過(guò)去一年中，88%的組織遭受了與DNS相關(guān)的攻擊，平均每家公司有7次，其中包括DNS隧道、DDoS攻擊、DNS劫持和云配置錯(cuò)誤濫用等技術(shù)手段。
IDC在北美、歐洲和亞太地區(qū)進(jìn)行的全球研究還發(fā)現(xiàn)，通過(guò)DNS竊取數(shù)據(jù)的事件急劇增加，26% 的組織報(bào)告敏感客戶信息被盜，而在22年這一比例為16%。
DNS攻擊常規(guī)應(yīng)對(duì)方式
針對(duì)面向DNS的各種攻擊，主要的應(yīng)對(duì)措施可以采用安全DNS工具，在傳統(tǒng)DNS服務(wù)的基礎(chǔ)之上提供一系列安全分析服務(wù)。
安全DNS 集域名安全解析、威脅檢測(cè)和防御、上網(wǎng)行為管理等功能于一體，通過(guò)對(duì)接威脅情報(bào)中心，為用戶每次訪問(wèn)的網(wǎng)站進(jìn)行分類，通過(guò)訪問(wèn)域名判斷用戶網(wǎng)絡(luò)環(huán)境是否存在安全威脅，及時(shí)檢查域名設(shè)置的DNS服務(wù)器是否正確，檢查所有權(quán)威和輔助DNS服務(wù)器上的解析記錄是否指向正確IP，阻止與大多數(shù)現(xiàn)代惡意軟件(如勒索軟件，漏洞利用，網(wǎng)絡(luò)釣魚，命令和控制)有關(guān)的活動(dòng)，增強(qiáng)企業(yè)現(xiàn)有的安全能力。
上網(wǎng)行為管控
依托威脅情報(bào)中心的內(nèi)容識(shí)別引擎，精確識(shí)別實(shí)現(xiàn)網(wǎng)站分類，對(duì)違法網(wǎng)站實(shí)時(shí)阻斷，結(jié)合DNS的前置檢測(cè)優(yōu)勢(shì)和輕量化檢測(cè)優(yōu)勢(shì)，為用戶提供強(qiáng)大的上網(wǎng)行為管控能力。
威脅情報(bào)檢測(cè)
通過(guò)威脅檢測(cè)系統(tǒng)+安全情報(bào)系統(tǒng)，收集新型威脅及攻擊，為安全運(yùn)營(yíng)提供決策依據(jù)。
依托威脅情報(bào)中心多種基于域名威脅情報(bào)，近實(shí)時(shí)同步最新威脅情報(bào)，實(shí)時(shí)展示當(dāng)前所有威脅告警事件，全面防護(hù)惡意軟件、勒索病毒、APT 攻擊、釣魚鏈接、非法站點(diǎn)等。
構(gòu)建“零信任+”安全防護(hù)體系
常規(guī)技術(shù)手段安全DNS雖然能夠緩解DNS攻擊造成的危害，但無(wú)法真正杜絕層出不窮的DNS攻擊，并對(duì)已發(fā)生的攻擊產(chǎn)生有效應(yīng)對(duì)。因此需要借助更安全的零信任防護(hù)理念，構(gòu)建更全面、堅(jiān)固的DNS安全防護(hù)體系。
（1）嚴(yán)格的訪問(wèn)控制
采用零信任系統(tǒng)功能（動(dòng)態(tài)和持續(xù)的控制能力），通過(guò)“認(rèn)證鏈”的方式融合多種認(rèn)證方式，每次請(qǐng)求均需要驗(yàn)證，會(huì)話級(jí)別的細(xì)粒度訪問(wèn)控制。
（2）DNS日常監(jiān)控
零信任系統(tǒng)部署后，能多維度感知訪問(wèn)過(guò)程中的參數(shù)變化，動(dòng)態(tài)調(diào)整安全策略；對(duì)多分支/多地域?qū)崿F(xiàn)統(tǒng)一監(jiān)管；包括網(wǎng)絡(luò)感知、業(yè)務(wù)感知、威脅感知，并作為萬(wàn)物智聯(lián)的網(wǎng)絡(luò)基礎(chǔ)核心服務(wù)底座，實(shí)現(xiàn)上層應(yīng)用的感知與建聯(lián)。
（3）后端業(yè)務(wù)隱身
“零信任+”方案將網(wǎng)絡(luò)防御的重心從靜態(tài)的網(wǎng)絡(luò)邊界轉(zhuǎn)移到了用戶、設(shè)備和數(shù)據(jù)資源上，基于Linux內(nèi)核層防火墻機(jī)制，實(shí)現(xiàn)敲門的控制面和數(shù)據(jù)面解耦，提供用戶檢控能力和應(yīng)用隱藏能力，確保只有合法用戶才能夠訪問(wèn)進(jìn)來(lái)。
綜上所述，零信任可以有效處理端到業(yè)務(wù)的安全接入、應(yīng)用訪問(wèn)安全和數(shù)據(jù)流轉(zhuǎn)安全；基于安全DNS流量分析能識(shí)別出90%以上的惡意行為的特性，可以對(duì)所有流量的訪問(wèn)做解析，利用隱藏、混淆、加密等方式躲避殺毒軟件和入侵檢測(cè)技術(shù)。二者結(jié)合，可以為用戶提供一個(gè)安全且有彈性的環(huán)境，具有更大的靈活性和更好的監(jiān)控，實(shí)現(xiàn)用戶訪問(wèn)、多分支機(jī)構(gòu)接入、終端安全性等提供支撐分析保護(hù)，做好內(nèi)外的安全防護(hù)。
THE AUTHORS
本文作者
本文由易安聯(lián)
猛禽實(shí)驗(yàn)室寫作
專注網(wǎng)安行業(yè)發(fā)展方向
解讀熱門產(chǎn)品技術(shù)趨勢(shì)
歡迎技術(shù)大咖學(xué)習(xí)交流
