Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Route 53 Resolver DNS Firewall Advanced
DNS Firewall Advanced détecte les requêtes DNS suspectes en fonction des signatures de menaces connues présentes dans les requêtes DNS. Vous pouvez spécifier un type de menace dans une règle que vous utilisez dans une règle de pare-feu DNS, au sein d'un groupe de règles. Lorsque vous associez un groupe de règles à un VPC, DNS Firewall compare vos requêtes DNS aux domaines marqués dans les règles. S'il trouve une correspondance, il gère la requête DNS en fonction de l'action de la règle correspondante.
DNS Firewall Advanced identifie les signatures de menaces DNS suspectes en inspectant une série d'identifiants clés dans la charge utile du DNS, notamment l'horodatage des demandes, la fréquence des demandes et des réponses, les chaînes de requêtes DNS et la longueur, le type ou la taille des requêtes DNS sortantes et entrantes. En fonction du type de signature de menace, vous pouvez configurer des politiques pour bloquer ou simplement enregistrer et envoyer une alerte sur la requête. En utilisant un ensemble étendu d'identificateurs de menaces, vous pouvez vous protéger contre les menaces DNS provenant de sources de domaine qui ne sont peut-être pas encore classifiées par les flux de renseignements sur les menaces gérés par l'ensemble de la communauté de sécurité.
Actuellement, DNS Firewall Advanced offre des protections contre :
Algorithmes de génération de domaines (DGAs)
DGAs sont utilisés par les attaquants pour générer un grand nombre de domaines afin de lancer des attaques de malwares.
Tunneling DNS
Le tunneling DNS est utilisé par les attaquants pour exfiltrer les données du client en utilisant le tunnel DNS sans établir de connexion réseau avec le client.
Pour savoir comment créer des règles, reportez-vous aux sections Création d'un groupe de règles et de règles etParamètres de règles dans le pare-feu DNS.
Atténuation des risques de scénarios de faux positifs
Si vous rencontrez des scénarios faussement positifs dans les règles qui utilisent les protections avancées du pare-feu DNS pour bloquer les requêtes, effectuez les opérations suivantes :
-
Dans les journaux du résolveur, identifiez le groupe de règles et les protections avancées du pare-feu DNS à l'origine du faux positif. Pour ce faire, recherchez le journal de la requête que le pare-feu DNS bloque, mais que vous souhaitez autoriser. L'enregistrement du journal répertorie le groupe de règles, l'action des règles et la protection avancée du pare-feu DNS. Pour de plus amples informations sur les journaux, veuillez consulter Valeurs qui apparaissent dans les journaux de requête Resolver.
-
Créez une nouvelle règle dans le groupe de règles qui autorise explicitement la requête bloquée. Lorsque vous créez la règle, vous pouvez définir votre propre liste de domaines avec uniquement la spécification de domaine que vous souhaitez autoriser. Suivez les instructions relatives à la gestion des règles et groupes de règles dans Création d'un groupe de règles et de règles.
-
Définissez la priorité de la nouvelle règle au sein du groupe de règles afin qu'elle s'exécute avant la règle qui utilise la liste de domaines gérée. Pour ce faire, donnez à la nouvelle règle un paramètre de priorité numérique inférieur.
Une fois que vous avez mis à jour votre groupe de règles, la nouvelle règle autorise explicitement le nom de domaine que vous souhaitez autoriser avant l'exécution de la règle de blocage.
