DNS-событие возникает до большинства сетевых соединений и может остановить обращение к опасному домену ещё до загрузки вредоносного содержимого.
Исходная задача
Рост зашифрованного трафика снижает видимость содержимого, но DNS остаётся источником ранних сигналов о фишинге, ботнетах, DGA и попытках скрытой передачи данных.
Политику нельзя включать без модели исключений, владельцев и процесса разбора ложных срабатываний.
Архитектура
Ideco DNS Security в цепочке разрешения имён для пользовательских и серверных сегментов
Раздельные политики для рабочих станций, серверов, гостей и технологических устройств
Связь DNS-события с источником через IDECO NGFW
Передача подтверждённых событий в SIEM и процесс реагирования
Испытания
Блокировка тестовых фишинговых и репутационно опасных доменов
Контролируемый сценарий DNS-туннелирования
Корректность исключений для внутренних и критичных доменов
Полнота журналов и маршрутизация события ответственному
Результат
Дополнительная точка остановки угроз до сетевого соединения
Наблюдаемая и управляемая политика DNS для разных сегментов
Регламент исключений и расследования аномальных запросов
Конкретные модели и лицензии определяются после сайзинга и проверки на целевой топологии.
Сопоставим топологию, нагрузку и ограничения с решениями IDECO, затем подготовим программу проверки.