Система доменных имён (DNS)
§§IBT7§§¶@definition¶DNS — распределённая система доменных имён, сопоставляющая доменные имена с техническими записями, включая IP-адреса.¶@plain¶DNS работает как распределённая адресная книга интернета и корпоративной сети: приложение спрашивает имя узла, а получает запись, по которой может установить соединение. Ошибка или подмена ответа способна направить пользователя не к тому сервису.¶@use¶Администраторы размещают авторитетные зоны, настраивают рекурсивные резолверы, ограничивают рекурсию и передачу зон, регистрируют запросы и контролируют изменения записей. В ИБ отдельно проверяют устойчивость, целостность ответов и возможность расследовать аномальные разрешения имён.¶@example¶Рабочие станции используют только корпоративные резолверы. Запрос к неизвестному домену попадает в DNS-журнал, а обращение к внешнему резолверу блокируется сетевой политикой; аналитик может сопоставить имя, адрес, устройство и время запроса.¶@compare¶DNSSEC¦¦DNSSEC подтверждает происхождение и целостность подписанных DNS-данных, но не шифрует запросы.¶@steps¶Сформировать запрос¦Клиент передаёт резолверу доменное имя и нужный тип записи, например A, AAAA, MX или TXT.¤Найти ответ¦Резолвер использует кеш либо последовательно обращается к корневым серверам, серверам домена верхнего уровня и авторитетным серверам нужной зоны.¤Проверить данные¦Полученный ответ проверяют по политике, сроку TTL и, если зона подписана, по цепочке DNSSEC.¤Вернуть и зафиксировать¦Клиент получает запись, резолвер кеширует её на допустимый срок, а события сохраняются для контроля и расследований.¶@resources¶¶@related¶DHCP snooping¦/slovar-informacionnoy-bezopasnosti/seti-i-infrastruktura/dhcp-snooping¶@faq¶Защищает ли DNSSEC конфиденциальность DNS-запроса?¦Нет. DNSSEC подтверждает подлинность и целостность подписанных данных; конфиденциальность транспорта обеспечивают, например, DoT или DoH.¤Почему нельзя разрешать открытую рекурсию?¦Открытый резолвер могут использовать для отражённых DDoS-атак и обхода корпоративной политики разрешения имён.¤Какие DNS-события полезны для SOC?¦Имя, тип записи, ответ, код результата, клиент, резолвер и время позволяют искать DGA-домены, туннелирование и обращения к вредоносной инфраструктуре.