Уроки модуля (3/3)
DNS filters, sinkholes, and RPZ
DNS-фильтры, воронки и RPZ
Брандмауэр DNS может применять политику: блокировать известные вредоносные домены, переписывать ответ или направлять клиента в контролируемую воронку. Зоны политики ответа (RPZ) — это формат и подход, используемые некоторыми преобразователями для распространения данных политики. Они не являются внутренним свойством DNS и не заменяют безопасность конечных точек или сетевые брандмауэры.
Потоки индикаторов могут быть неправильными или устаревшими. Решите, кто утверждает правило, как обрабатывать ложные срабатывания, как долго правило остается активным, кто может запрашивать исключение и как его отменить. Зарегистрируйте причину изменения и сделайте ее видимой для операторов.
Для подтвержденного фишингового домена политика может вернуть NXDOMAIN или отправить клиента во внутреннюю воронку для измерения. Не перенаправляйте пользователей на страницу, имитирующую заблокированный сайт. Рассмотрите DNSSEC: локальная перезапись может изменить гарантии проверки и должна быть разработана и задокументирована в сопоставителе.
Проверьте свое понимание
Выберите лучший ответ. В примерах используются обучающие имена и не отправляются настоящие DNS-запросы.
Что делает DNS-фильтр управляемым?