Сервис BI.ZONE: новые механизмы контроля DNS-трафика

Компания BI.ZONE анонсировала новую версию сервиса Secure DNS, которая предоставляет больше механизмов для контроля DNS-трафика, в том числе списки перенаправления и мониторинга, а также поддержку cookie-файлов для повышения безопасности DNS-транзакций. Кроме того, политиками фильтрации теперь можно управлять не только при помощи API, но и через личный кабинет.

В обновленном сервисе внедрены следующие новые механизмы контроля DNS-трафика:

• список перенаправления и список мониторинга. Если ранее DNS-фильтрация основывалась только на белых и черных списках, то теперь за счет более точечных настроек клиент может не только блокировать или разрешать переход на определенные ресурсы, но и перенаправлять пользователя на другой IP-адрес либо отслеживать и сохранять информацию о запросах, не предпринимая при этом никаких действий;
• механизм перенаправления в рамках фильтрации по веб-категориям – если сотрудник обращается к сайту из категории, к которой компания запретила доступ (азартные игры, соцсети и т. п.), механизм позволяет не блокировать запрос, а перенаправлять его на другой ресурс, например, на страницу с информацией о блокировке;
• поддержка DNS-cookies – при обращении к авторитативному серверу решение само выставляет значение DNS-cookies и таким образом обеспечивает дополнительную защиту от DNS-спуфинга. Это помешает злоумышленнику подменить результат разрешения доменного имени.

В новой версии оптимизирована скорость работа и уменьшены задержки. Так, в 2 раза увеличилась производительность ядра сервиса и соответственно количество обрабатываемых DNS-запросов. Добавлен механизм инвалидации записей в DNS-кеше, чтобы вовремя очищать данные в кеше второго уровня, что повышает достоверность данных в случае внештатных ситуаций.

Ускорен процесс получения данных с BI.ZONE Threat Intelligence – портала с информацией об актуальных киберугрозах. Оптимизирован механизм получения идентификаторов компрометации (IoC): теперь вместо массовых единичных запросов, содержащих требующий проверки домен, BI.ZONE Secure DNS делает один запрос по всем доменам, которые пришли в единицу времени.

Снизилась задержка передачи информации об актуальных угрозах. Появилась возможность передавать эту информацию между облачным и клиентским узлом, используя расширение протокола DNS – EDNS0. В итоге быстрее принимается решение, блокировать или пропустить запрос на стороне узла заказчика.

Оптимизирована передача информации через протокол DNS-over-HTTPS (DoH), улучшен механизм буферизации сообщений – теперь взаимодействие через DoH стало более стабильным.

Наконец, в новой версии сервиса расширены функции личного кабинета. Пользователи теперь могут управлять политиками фильтрации BI.ZONE Secure DNS прямо в личном кабинете, в частности, настраивать механизмы обнаружения и блокирования DNS-туннелей, сгенерированных алгоритмом доменов (DGA), перепривязывания DNS (DNS rebinding), а также управлять черными и белыми списками и модулем интеграции с BI.ZONE Threat Intelligence. Ранее это было возможно только при помощи API.

Как отмечают в компании, эффективно выстроенная защита DNS-трафика помогает заблокировать атакующим доступ в ИТ-инфраструктуру организации и в целом укрепить безопасность. При разработке обновлений ставилась цель сделать отслеживание трафика еще более прозрачным и управляемым, и теперь у клиентов есть больше возможностей настраивать решение под свои задачи кибербезопасности.