Lecciones del módulo (3/3)
Filtros DNS, sinkhole y RPZ
Filtros DNS, sinkhole y RPZ
Un firewall DNS puede aplicar políticas: bloquear dominios maliciosos conocidos, reescribir una respuesta o dirigir el cliente a un sinkhole controlado. Response Policy Zones (RPZ) es un formato y método que algunos resolutores usan para distribuir políticas. No es una propiedad del protocolo DNS ni sustituye la seguridad de endpoint o los firewalls de red.
Las fuentes de indicadores pueden estar equivocadas o desactualizadas. Define quién aprueba reglas, cómo se gestionan falsos positivos, cuánto duran, qué excepciones existen y cómo se revierten. Registra el motivo y muéstralo a los operadores.
Para un dominio de phishing confirmado, una regla puede devolver NXDOMAIN o dirigir a un sinkhole interno. No envíes usuarios a una página que imite el sitio bloqueado. Evalúa el efecto en DNSSEC: una reescritura local puede cambiar las garantías de validación y debe documentarse en el resolutor.
Comprueba lo aprendido
Elige la mejor respuesta. Los ejemplos usan nombres didácticos y no envían consultas DNS reales.
¿Qué hace gestionable un filtro DNS?