Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Wichtige Konzepte und Komponenten für Route 53 Global Resolver
Route 53 Global Resolver verwendet mehrere Schlüsselkomponenten, die zusammenarbeiten, um DNS-Auflösung mit geteiltem Traffic, hohe Verfügbarkeit durch globale Anycast-Architektur und umfassende DNS-Sicherheit für Ihr Unternehmen zu gewährleisten. Das Verständnis dieser Route 53 Global Resolver-Konzepte hilft Ihnen bei der Entwicklung und Bereitstellung von Lösungen, die einen nahtlosen Zugriff auf private und öffentliche Ressourcen ermöglichen, die Servicekontinuität über mehrere Regionen hinweg sicherstellen und vor DNS-basierten Bedrohungen schützen.
DNS-Resolver für Kunden vor Ort und an entfernten Standorten
Um Route 53 Global Resolver für Ihre verteilten Workloads, Kundenstandorte und Benutzer bereitzustellen, konfigurieren Sie diese Schlüsselkomponenten:
- Globaler Resolver
-
Die Hauptdienstinstanz, die DNS-Auflösung und Filterung für Ihr Unternehmen in mehreren AWS Regionen bereitstellt. Ihr globaler Resolver verwendet die Anycast-Technologie, um DNS-Anfragen automatisch an die nächstgelegene verfügbare Region weiterzuleiten und so schnelle Antwortzeiten für alle Kunden unabhängig von ihrem Standort zu gewährleisten.
- Anycast-IP-Adressen
-
Zwei eindeutige IPv4 oder IPv6 Adressen, die Ihrem globalen Resolver zugewiesen sind und den Sie auf Client-Geräten und Netzwerkgeräten konfigurieren. Diese Anycast-IP-Adressen sind weltweit identisch, was die DNS-Konfiguration an all Ihren Standorten vereinfacht. Die Anycast-IP-Adressierung ermöglicht das automatische Routing von DNS-Anfragen an den nächstgelegenen globalen Resolver, wodurch die Antwortzeiten optimiert und die Zuverlässigkeit der Dienste verbessert werden.
- DNS-Ansichten
-
Konfigurationsvorlagen, mit denen Sie unterschiedliche DNS-Richtlinien auf verschiedene Gruppen von Clients in Ihrem Netzwerk anwenden können. Verwenden Sie DNS-Ansichten, um Split-Horizon-DNS zu implementieren. Wenden Sie beispielsweise strenge Filter und Token-Authentifizierung für entfernte Standorte an, während Sie IP-basierten Zugriff und unterschiedliche Sicherheitsrichtlinien für Zweigstellen verwenden.
DNS-Client-Authentifizierung
Wählen Sie die Authentifizierungsmethode aus, die für Ihre Bereitstellung am besten geeignet ist:
- Tokenbasierte Authentifizierung
-
Sichere DNS-Verbindungen mit verschlüsselten Tokens für DNS-over-HTTPS (DoH) und DNS-over-TLS (DoT). Sie können eindeutige Zugriffstoken für einzelne Clients oder Gerätegruppen generieren, Ablaufzeiträume festlegen und Token nach Bedarf widerrufen.
- Greifen Sie auf quellenbasierte Authentifizierung zu
-
Steuern Sie den Zugriff mithilfe von IP-Adressen und Zulassungslisten für CIDR-Bereiche. Sie können die öffentlichen IP-Adressen oder Netzwerkbereiche Ihrer Zweigstelle konfigurieren und dann entsprechend Ihren Sicherheitsanforderungen angeben, welche DNS-Protokolle (DNS-over-Port-53, DoT oder DoH) jeder Standort verwenden kann.
- Auswahl des DNS-Protokolls
-
Wählen Sie das passende DNS-Protokoll basierend auf Ihren Sicherheits- und Kompatibilitätsanforderungen aus:
-
DNS-over-Port-53 (Do53) — Verwenden Sie es für maximale Kompatibilität mit der vorhandenen Netzwerkinfrastruktur
-
DNS-over-TLS (DoT) — Wird verwendet, wenn Sie verschlüsseltes DNS mit dedizierter Porttrennung für die Netzwerküberwachung benötigen
-
DNS-over-HTTPS (DoH) — Verwenden Sie diese Option, wenn Sie Netzwerkeinschränkungen umgehen müssen, da der Datenverkehr als reguläres HTTPS angezeigt wird
-
DNS-Auflösung mit geteiltem Datenverkehr
Route 53 Global Resolver ermöglicht es Unternehmen, sowohl private als auch öffentliche Domains von jedem Standort aus nahtlos aufzulösen, sodass keine komplexen VPN-Konfigurationen oder regionsspezifische DNS-Einstellungen erforderlich sind.
- Hybride DNS-Auflösung
-
Die hybride DNS-Auflösung ermöglicht es Route 53 Global Resolver, Anfragen von lokalen Benutzern und Anwendungen an private Anwendungen gleichzeitig zu lösen. AWS
- Globaler Zugriff auf private Zonen
-
Der globale Zugriff auf private Zonen erweitert die Reichweite der privaten gehosteten Zonen von Amazon Route 53 über die VPC-Grenzen hinaus. Autorisierte Kunden überall im Internet können private Domainnamen auflösen, sodass verteilte Teams ohne herkömmliche Anforderungen an die Netzwerkkonnektivität auf interne Ressourcen zugreifen können.
- Reibungsloser Failover
-
Ein nahtloses Failover gewährleistet den kontinuierlichen Zugriff auf private und öffentliche Ressourcen, auch wenn einzelne AWS Regionen nicht verfügbar sind. Die Anycast-Architektur leitet Abfragen automatisch an fehlerfreie Regionen weiter und sorgt gleichzeitig für ein konsistentes Auflösungsverhalten.
Hohe Verfügbarkeit und globale Präsenz
Route 53 Global Resolver bietet Verfügbarkeit auf Unternehmensniveau durch eine verteilte Architektur und automatische Failover-Funktionen.
- Einsatz in mehreren Regionen
-
Bei der Bereitstellung in mehreren Regionen werden Route 53 Global Resolver-Instanzen auf mindestens 2 AWS Regionen verteilt, um eine hohe Verfügbarkeit zu gewährleisten und ein Failover bei Serviceausfällen zu ermöglichen. Sie können je nach Ihren geografischen Anforderungen und Compliance-Anforderungen bestimmte Regionen auswählen.
- Automatische geografische Optimierung
-
Die automatische geografische Optimierung leitet DNS-Abfragen basierend auf Netzwerktopologie und Latenz an die nächstgelegene verfügbare AWS Region weiter. Dies reduziert die Reaktionszeiten und verbessert die Benutzererfahrung für global verteilte Unternehmen.
- Integrierte Redundanz
-
Die integrierte Redundanz gewährleistet die Servicekontinuität durch automatischen Failover auf alternative Regionen, wenn primäre Regionen nicht mehr verfügbar sind. Die Clients verwenden weiterhin dieselben Anycast-IP-Adressen, während der Datenverkehr transparent umgeleitet wird.
DNS-Auflösung und Weiterleitung
- Auflösung einer privaten gehosteten Zone
-
Die Auflösung privat gehosteter Zonen ermöglicht es Route 53 Global Resolver, DNS-Abfragen für private gehostete Route 53 53-Zonen in allen AWS Regionen aufzulösen. Auf diese Weise können autorisierte Clients Domänen für Anwendungen und Ressourcen, die von Route 53 gehostet werden, von überall im Internet aus auflösen.
- DNS mit geteiltem Horizont
-
Split-Horizon DNS bietet je nach Client, der die Anfrage stellt, unterschiedliche DNS-Antworten. Route 53 Global Resolver kann öffentliche Domänen im Internet auflösen und gleichzeitig private Domänen auflösen und bietet so einen nahtlosen Zugriff auf öffentliche und private Ressourcen.
- DNSSEC-Validierung
-
Die DNSSEC-Validierung verifiziert die Authentizität und Integrität von DNS-Antworten von öffentlichen Nameservern für mit DNSSEC signierte Domains. Diese Validierung stellt sicher, dass DNS-Antworten während der Übertragung nicht manipuliert wurden, und bietet so Schutz vor DNS-Spoofing- und Cache-Poisoning-Angriffen.
- DNS-Client-Subnetz (ECS)
-
Das EDNS-Client-Subnetz ist eine optionale Funktion, die Client-Subnetzinformationen in DNS-Abfragen an autoritative Nameserver weiterleitet. Dies ermöglicht genauere geografisch basierte DNS-Antworten und reduziert möglicherweise die Latenz, indem Clients zu Netzwerken oder Servern weitergeleitet werden, die sich näher befinden. Für DNS-over-TLS (DoT) - und DNS-over-HTTPS (DoH) -Verbindungen können Sie EDNS0 verwenden, um die Client-IP-Adressinformationen zu übergeben. Wenn ECS auf Global Resolver aktiviert ist, fügt der Dienst automatisch die Client-IP ein, sofern sie nicht in der Abfrage angegeben ist.
DNS-Filterung und Domänenlisten
Route 53 Global Resolver bietet domänenbasierte Filterung mithilfe von Domänenlisten, die von verwaltet werden AWS , um bestimmte Domänen zu blockieren oder zuzulassen.
- Regeln für die DNS-Filterung
-
DNS-Filterregeln definieren, wie Route 53 Global Resolver DNS-Abfragen auf der Grundlage von Domänenübereinstimmungskriterien verarbeitet. Regeln werden in der Reihenfolge ihrer Priorität ausgewertet und können Aktionen (ALLOW, BLOCK oder ALERT) für Abfragen an bestimmte Domänen oder Domänenkategorien angeben.
- Domänenlisten
-
Domänenlisten sind Sammlungen von Domänen, die in Filterregeln verwendet werden. Sie können sein:
-
Benutzerdefinierte Domainlisten — Domainsammlungen, die Sie erstellen und verwalten
-
AWS verwaltete Domainlisten — Vorkonfigurierte Bedrohungslisten und Inhaltskategorien AWS , die mithilfe von Bedrohungsinformationen bösartige Domänen identifizieren. Zu den verfügbaren Bedrohungslisten gehören:
-
Malware-Domänen — Domänen, von denen bekannt ist, dass sie Malware hosten oder verteilen
-
Steuerung und Kontrolle von Botnetzen — Domänen, die von Botnetzen für die Befehls- und Kontrollkommunikation verwendet werden
-
Spam — Domains, die mit Spam und unerwünschten E-Mail-Kampagnen in Verbindung stehen
-
Phishing — Domains, die bei Phishing-Angriffen verwendet werden, um Anmeldeinformationen und persönliche Daten zu stehlen
-
GuardDuty Amazon-Bedrohungsliste — Domänen, die durch GuardDuty Threat Intelligence identifiziert wurden
Zu den verfügbaren Inhaltskategorien gehören soziale Medien, Glücksspiel und andere Kategorien, mit denen Unternehmen den Zugriff auf bestimmte Arten von Inhalten kontrollieren können.
Einzelne Domainspezifikationen in verwalteten Listen können nicht angezeigt oder bearbeitet werden, um geistiges Eigentum zu schützen und die Wirksamkeit der Sicherheit zu gewährleisten.
-
-
Erweiterte Erkennung von DNS-Bedrohungen
Route 53 Global Resolver verwendet dynamische algorithmische Analysen, um fortgeschrittene DNS-Bedrohungen wie DNS-Tunneling und Algorithmen zur Domaingenerierung zu erkennen. Im Gegensatz zu Domainlisten, die mit bekannten schädlichen Domains übereinstimmen, analysiert die algorithmische Erkennung DNS-Abfragemuster in Echtzeit, um verdächtiges Verhalten zu identifizieren.
- Erkennung von DNS-Tunneling
-
DNS-Tunneling wird von Angreifern verwendet, um mithilfe des DNS-Tunnels Daten vom Client zu exfiltrieren, ohne eine Netzwerkverbindung zum Client herzustellen.
- Erkennung durch einen Algorithmus zur Domänengenerierung (DGA)
-
Algorithmen zur Domaingenerierung (DGAs) werden von Angreifern verwendet, um eine große Anzahl von Domainnamen für ihre command-and-control Server zu erstellen.
- Schwellenwerte für das Vertrauen
-
Jeder Erkennungsalgorithmus gibt einen Konfidenzwert aus, der die Regelauslösung bestimmt. Höhere Vertrauensschwellen reduzieren Fehlalarme, können aber ausgeklügelte Angriffe übersehen. Niedrigere Schwellenwerte erhöhen die Erkennungsempfindlichkeit, erfordern jedoch zusätzliche Alarmanalysen, um falsch positive Ergebnisse herauszufiltern.
- Einschränkungen der Aktionen
-
Nur Support
ALERTundBLOCKAktionen für erweiterte Regeln zum Schutz vor Bedrohungen. DieALLOWAktion wird nicht unterstützt, da die algorithmische Erkennung harmlosen Datenverkehr nicht eindeutig klassifizieren kann, sondern nur potenziell bösartige Muster identifizieren kann.
Überwachung und Protokollierung
- -Protokolle abfragen
-
Abfrageprotokolle enthalten detaillierte Informationen zu DNS-Abfragen, die von Route 53 Global Resolver verarbeitet werden, einschließlich Quell-IP, abgefragter Domain, Antwortcode, ergriffenen Richtlinienaktionen und Zeitstempel. Protokolle können zur Analyse und zur Erstellung von Compliance-Berichten an Amazon CloudWatch, Amazon Data Firehose oder Amazon Simple Storage Service übermittelt werden.
- OCSF-Format
-
Das Open Cybersecurity Schema Framework (OCSF) -Format ist ein standardisiertes Protokollierungsformat, das von Route 53 Global Resolver für DNS-Abfrageprotokolle verwendet wird. Dieses Format bietet konsistente, strukturierte Daten, die sich problemlos in SIEM-Systeme (Security Information and Event Management) und andere Sicherheitstools integrieren lassen.
- Ziele protokollieren
-
Protokollziele bestimmen, wohin DNS-Abfrageprotokolle übermittelt werden, wobei jedes Protokoll unterschiedliche Merkmale aufweist:
-
Amazon Simple Storage Service — Kostengünstige Langzeitlagerung, ideal für Konformitäts- und Chargenanalysen. Lässt sich in Analysetools wie Amazon Athena und Amazon EMR integrieren.
-
Amazon CloudWatch Logs — Überwachung und Alarmierung in Echtzeit mit Integration in CloudWatch Amazon-Alarme und -Dashboards. Unterstützt Log-Insights für Ad-hoc-Abfragen.
-
Amazon Data Firehose — Echtzeit-Streaming zu externen Systemen mit integrierten Datentransformationsfunktionen. Unterstützt automatische Skalierung und Pufferung.
-
- Region „Beobachtbarkeit“
-
Die Observability-Region bestimmt, wohin DNS-Abfrageprotokolle übermittelt werden.
