DNS sinkhole
Простыми словами
Проще говоря, «DNS sinkhole» помогает команде понять, как проходит сетевой обмен, где его ограничивать и каким наблюдаемым результатом проверить защиту. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «DNS sinkhole» используют так: его учитывают в сетевой архитектуре, правилах обмена, точках контроля и мониторинге фактического трафика. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При изменении сетевой схемы инженер опирается на понятие «DNS sinkhole»: задаёт разрешённый обмен, включает журналирование и проверяет разрешённый и запрещённый сценарии.
Не путать с
- HoneypotHoneypot — специально созданный приманочный ресурс, предназначенный для обнаружения и изучения действий атакующего.
- HoneynetHoneynet — сеть взаимосвязанных приманочных систем, имитирующая среду для наблюдения за тактиками атакующего.
- Зеркалирование порта (SPAN)SPAN — зеркалирование трафика с портов коммутатора на порт мониторинга для анализа или записи.
Как это работает
- Получить подозрительный доменДомен поступает из аналитики, правила обнаружения или подтверждённого инцидента.
- Настроить перенаправлениеЗащитный DNS возвращает контролируемый адрес вместо адреса опасной инфраструктуры.
- Принять соединениеSinkhole регистрирует обращения заражённых или неверно настроенных узлов.
- Найти и обработать источникSOC связывает запрос с активом, проверяет компрометацию и устраняет причину.
Частые вопросы
Проще говоря, «DNS sinkhole» помогает команде понять, как проходит сетевой обмен, где его ограничивать и каким наблюдаемым результатом проверить защиту. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «DNS sinkhole» применяют на практике?В практике ИБ термин «DNS sinkhole» используют так: его учитывают в сетевой архитектуре, правилах обмена, точках контроля и мониторинге фактического трафика. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «DNS sinkhole» отличается от близких понятий?«DNS sinkhole» описывает следующее: контролируемый DNS-ответ, перенаправляющий обращения к вредоносному домену на безопасный адрес для блокирования и наблюдения. «Honeypot» означает: специально созданный приманочный ресурс, предназначенный для обнаружения и изучения действий атакующего. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.