Google Public DNS как средство защиты
|
Сегодня говорить о безопасности облачных вычислений довольно сложно. Действительно, к локальным облакам применимы уже сложившиеся технологии, обеспечивающие безопасность, и здесь проблем почти нет, но при переходе к глобальным облакам сложность систем многократно возрастает, поэтому требуются качественно новые методы, гарантирующие их безопасность.
|
Для защиты от этих угроз компания Google предложила специальный сервис Google Public DNS, который регулярно проверяется на корректность записей. Компания Google гарантирует, что разрешаемые через ее публичный DNS имена совпадают с записями в корневых серверах системы DNS. Компания выбрала наиболее запоминающиеся IP-адреса для первичного (8.8.8.8) и вторичного (8.8.4.4) DNS-серверов, что позволяет быстро настроить разрешение доменных имен на любом компьютере и устройстве, подключенному к Интернет. Если же корпоративный DNS-сервер выведен из строя, то администраторы или даже сами пользователи очень быстро могут перенастроить свои компьютеры на публичный сервис Google.
Впрочем, DNS можно использовать и для более серьезной защиты корпоративных пользователей. В частности, компания Entensys приступила к бета-тестированию сервиса GateWall DNS Filter, который позволяет фильтровать корпоративный трафик с помощью выборочного разрешения DNS-запросов. Технологически подобная защита организована так: компания-производитель поддерживает специальный DNS-сервер, который разрешает доменные имена в конкретные IP-адреса. Однако если у такого сервера попросить разрешить подозрительное доменное имя, то IP-адрес будет возвращен не тот, который прописан в доменной структуре, но адрес специального сервиса. Этот сервис позволяет реализовать URL-фильтрацию на более высоком уровне, то есть у компаний появляется возможность блокировать не только вредоносные ссылки, но и различные бесполезные ресурсы. Причем политику блокирования доступа с помощью DNS можно настроить с помощью специального веб-интерфейса.
Аналогичный по функциональности продукт предлагают некоторые производители средств защиты, однако он реализован с помощью специального устройства, которое устанавливается на шлюз и контролирует обращение корпоративных пользователей к ресурсам Интернет. Однако в отличии от этих шлюзовых решений DNS-фильтр не требует специального устройства - для подключения подобной услуги достаточно перенастроить конфигурацию корпоративного DNS-сервера.
К тому же DNS-ориентирована на массовую обработку запросов, то есть имеет механизмы балансировки нагрузки и отказоустойчивости, кеширование запросов и другие - не все антивирусные производители поддерживают аналогичные методы оптимизации запросов в своих репутационных базах. Кроме того, DNS-фильтр блокирует доступ не только для HTTP протокола, но сразу для всех приложений. К тому же, этот сервис является единственным действенным средством защиты от технологии DNS-VPN, которая позволяет организовать канал утечки из защищенных сетей.
Впрочем, стоит отметить, что DNS-фильтрация имеет и свои "родимые пятна". В частности, она не позволяет фильтровать всех URL - стандарт на универсальный указатель допускает прямое указание IP-адреса сервера. Такие запросы может фильтровать только шлюзовой продукт. Однако обычно массовые атаки опираются на доменные имена и в них не используются точные IP-адреса. Это связано с том, что по IP-адресу проще найти злоумышленника, чем по доменному имени. Так что для более надежной защиты стоит комбинировать DNS и URL фильтрацию.
|
