Zabezpieczenie DNS: dlaczego i jak
Przed każdym wejściem na stronę Twoje urządzenie odpytuje książkę adresową, czyli DNS. Wybór resolwera, który filtruje niebezpieczne domeny i szyfruje zapytania, to jedno z najprostszych zabezpieczeń do wdrożenia.
Zespół redakcyjny Kayzen Security4 min czytania
DNS w dwóch zdaniach
Gdy wpisujesz nazwę strony, komputer pyta serwer zwany resolwerem DNS o odpowiadający jej adres IP. Domyślnie resolwerem jest często serwer Twojego dostawcy Internetu, a komunikacja odbywa się otwartym tekstem.
Ponieważ ten krok poprzedza każde połączenie, jest idealnym punktem kontroli: resolwer, który zna domeny phishingowe lub domeny złośliwego oprogramowania, może zablokować połączenie, zanim w ogóle nastąpi.
Co filtrowanie DNS blokuje, a czego nie
Resolwer filtrujący porównuje każdą żądaną domenę z listami zagrożeń aktualizowanymi na bieżąco. Jeśli domena jest znana jako niebezpieczna, zwraca odpowiedź blokującą lub stronę z wyjaśnieniem.
- Blokuje: już skatalogowane domeny phishingowe, znane serwery sterujące złośliwym oprogramowaniem, wybrane przez Ciebie kategorie (na przykład treści dla dorosłych w domu).
- Nie blokuje: dopiero co utworzonej pułapki, której jeszcze nie ma na listach, złośliwego pliku z pendrive’a ani oszustwa telefonicznego.
- Można je obejść: świadomy użytkownik może zmienić resolwer, chyba że urządzenie jest zarządzane, a ustawienie zablokowane.
Szyfrowanie zapytań: DoH i DoT
Dwa publiczne standardy szyfrują komunikację z resolwerem: DNS over HTTPS (RFC 8484) i DNS over TLS (RFC 7858). W publicznej sieci Wi-Fi uniemożliwiają osobom trzecim podgląd odwiedzanych stron lub fałszowanie odpowiedzi.
Nowsze systemy (Windows 11, macOS, iOS, Android) i główne przeglądarki potrafią korzystać z szyfrowanego resolwera. Uwaga: przeglądarka ustawiona na własny resolwer pomija filtrowanie skonfigurowane w systemie.
Wdrożenie ochronnego DNS: kroki
- Dom: skonfiguruj resolwer filtrujący w routerze od operatora, jeśli na to pozwala, lub na każdym urządzeniu (ustawienie „Prywatny DNS” w Androidzie, profil konfiguracji na iPhonie i Macu).
- Mała firma: wybierz rozwiązanie zarządzane centralnie, które stosuje tę samą politykę na wszystkich stanowiskach, także poza biurem, i sygnalizuje próby obejścia.
- Sprawdź wynik: domena testowa udostępniona przez resolwer powinna być zablokowana, a zwykłe strony powinny działać normalnie.
- Udokumentuj wybór (jaki resolwer, jakie blokowane kategorie): w firmie poinformuj pracowników, ponieważ filtrowanie podlega regulaminowi korzystania z IT.
Kwestie prywatności
Resolwer widzi listę odwiedzanych domen. Wybierz usługę, która publikuje swoją politykę przechowywania logów, lokalizację i podwykonawców. W firmie filtrowanie i jego logi muszą być zgodne z prawem pracy i RODO: uprzednie poinformowanie pracowników, ograniczony okres przechowywania, ograniczony dostęp.
Oficjalne źródła
- ANSSI (nowa karta) — Agence nationale de la sécurité des systèmes d'information — guides et publications
- IETF (nowa karta) — RFC 8484 — DNS Queries over HTTPS (DoH)
- IETF (nowa karta) — RFC 7858 — DNS over Transport Layer Security (DoT)
- CNIL (nowa karta) — Commission nationale de l'informatique et des libertés
Cytowane materiały są publikowane przez ich autorów w języku oryginału. Kayzen nie jest powiązany z żadną z tych instytucji.
Ten poradnik ma charakter informacyjny i ogólny. Nie zastępuje porady prawnej ani interwencji specjalisty ds. bezpieczeństwa IT.