Система доменных имён (DNS)
Простыми словами
DNS работает как распределённая адресная книга интернета и корпоративной сети: приложение спрашивает имя узла, а получает запись, по которой может установить соединение. Ошибка или подмена ответа способна направить пользователя не к тому сервису.
Как применяется
Администраторы размещают авторитетные зоны, настраивают рекурсивные резолверы, ограничивают рекурсию и передачу зон, регистрируют запросы и контролируют изменения записей. В ИБ отдельно проверяют устойчивость, целостность ответов и возможность расследовать аномальные разрешения имён.
Пример применения
Рабочие станции используют только корпоративные резолверы. Запрос к неизвестному домену попадает в DNS-журнал, а обращение к внешнему резолверу блокируется сетевой политикой; аналитик может сопоставить имя, адрес, устройство и время запроса.
Не путать с
- DNSSECDNSSEC подтверждает происхождение и целостность подписанных DNS-данных, но не шифрует запросы.
Как это работает
- Сформировать запросКлиент передаёт резолверу доменное имя и нужный тип записи, например A, AAAA, MX или TXT.
- Найти ответРезолвер использует кеш либо последовательно обращается к корневым серверам, серверам домена верхнего уровня и авторитетным серверам нужной зоны.
- Проверить данныеПолученный ответ проверяют по политике, сроку TTL и, если зона подписана, по цепочке DNSSEC.
- Вернуть и зафиксироватьКлиент получает запись, резолвер кеширует её на допустимый срок, а события сохраняются для контроля и расследований.
Связанные термины
Частые вопросы
Нет. DNSSEC подтверждает подлинность и целостность подписанных данных; конфиденциальность транспорта обеспечивают, например, DoT или DoH.
Почему нельзя разрешать открытую рекурсию?Открытый резолвер могут использовать для отражённых DDoS-атак и обхода корпоративной политики разрешения имён.
Какие DNS-события полезны для SOC?Имя, тип записи, ответ, код результата, клиент, резолвер и время позволяют искать DGA-домены, туннелирование и обращения к вредоносной инфраструктуре.