DNS-Resolver-Richtlinie

Dieser Artikel bietet einen Überblick über die DNS-Resolver-Richtlinien und den Threat Intelligence-Feed.

Weitere Informationen zur Konfiguration der DNS-Resolver-Richtlinie und zum Threat Intelligence-Feed finden Sie in den folgenden Anleitungen:

• Sichern und Anzeigen von DNS-Traffic .

• Sichern Sie Ihr VNet mit Threat Intelligence-Feed.

Was ist die DNS-Resolver-Richtlinie?

Die DNS-Resolver-Richtlinie bietet die Möglichkeit, DNS-Abfragen auf Ebene des virtuellen Netzwerks (VNet) zu filtern und zu protokollieren. Die Richtlinie gilt sowohl für öffentlichen als auch für privaten DNS-Datenverkehr innerhalb eines VNet. Du kannst DNS-Protokolle an ein Speicherkonto, einen Log Analytics-Arbeitsbereich oder Event Hubs senden. Sie können DNS-Abfragen zulassen, blockieren oder Warnungen für diese senden.

Durch die Verwendung der DNS-Resolver-Richtlinie können Sie:

• Regeln zum Schutz vor DNS-basierten Angriffen erstellen, indem Sie die Namensauflösung bekannter oder schädlicher Domänen blockieren
• Detaillierte DNS-Protokolle speichern und anzeigen, um Einblicke in den DNS-Datenverkehr zu erhalten

Eine DNS-Resolver-Richtlinie hat die folgenden zugehörigen Elemente und Eigenschaften:

• Standort: Die Azure-Region, in der Sie die Resolver-Policy erstellen und bereitstellen.
• DNS-Datenverkehrsregeln: Regeln, die basierend auf Prioritäts- und Domänenlisten zulassen, blockieren oder warnen.
• Virtuelle Netzwerkverbindungen: Ein Link, der die Resolver-Policy mit einem VNet verknüpft.
• DNS-Domänenlisten: Standortbasierte Listen der DNS-Domänen.

Sie können die DNS-Resolver-Policy konfigurieren, indem Sie Azure PowerShell oder das Azure Portal verwenden.

Was ist DNS Threat Intelligence?

Die Azure DNS-Resolver-Richtlinie mit Threat Intelligence-Feed hilft Ihnen, Sicherheitsvorfälle in virtuellen Netzwerken von Kunden zu erkennen und zu verhindern. Es blockiert bekannte, bösartige Domains, die vom Security Response Center (MSRC) von Microsoft stammen, bei der Namensauflösung.

Zusätzlich zu den Funktionen, die die DNS-Resolver-Richtlinie bereits bietet, erhalten Sie eine verwaltete Domainliste. Es hilft, Workloads vor bekannten bösartigen Domains zu schützen, indem es den eigenen verwalteten Threat Intelligence-Feed von Microsoft verwendet.

Die folgenden Vorteile ergeben sich durch die Verwendung der DNS-Resolver-Policy mit dem Threat Intelligence-Feed:

• Intelligenter Schutz:

  • Fast alle Angriffe beginnen mit einer DNS-Abfrage. Die Liste der verwalteten Threat Intelligence-Domänen ermöglicht die frühzeitige Erkennung und Verhinderung von Sicherheitsvorfällen.

• Kontinuierliche Updates:

  • Microsoft aktualisiert den Feed automatisch, um vor neu erkannten schädlichen Domänen zu schützen.

• Überwachung und Sperrung bösartiger Domänen:

  • Die Flexibilität bei der Überwachung der Aktivität im reinen Warnmodus oder das Blockieren verdächtiger Aktivitäten im Sperrmodus.

  • Wenn du das Logging aktivierst, bekommst du Transparenz in den gesamten DNS-Verkehr im virtuellen Netzwerk.

Anwendungsfälle

• Konfigurieren Sie Threat Intelligence als verwaltete Domainliste in DNS-Resolver-Richtlinien, um eine zusätzliche Schutzschicht gegen bekannte bösartige Domains zu erhalten.

• Erhalten Sie Sichtbarkeit von kompromittierten Hosts, die versuchen, bekannte schädliche Domänen aus virtuellen Netzwerken zu beheben.

• Protokollieren und Einrichten von Warnungen, wenn schädliche Domänen in virtuellen Netzwerken aufgelöst werden, in denen der Intel-Feed für Bedrohungen konfiguriert ist.

• Nahtlose Integration in virtuelle Netzwerke und andere Dienste wie Azure Privates DNS Zones, Private Resolver und andere Dienste im virtuellen Netzwerk.

Standort

Eine Resolver-Policy kann nur auf VNets in derselben Region angewendet werden. Im folgenden Beispiel erstellen Sie jeweils zwei Policen in jeder von zwei verschiedenen Regionen (Ost-USA und Zentral-USA).

DNS-Datenverkehrsregeln

DNS-Datenverkehrsregeln bestimmen die Aktion, die für eine DNS-Abfrage ausgeführt wird.

Um DNS-Verkehrsregeln im Azure-Portal anzuzeigen, wählen Sie eine DNS-Resolver-Richtlinie aus und wählen Sie unter EinstellungenDNS-Verkehrsregeln. Sehen Sie sich folgendes Beispiel an:

• Regeln werden in der Reihenfolge der Priorität im Bereich 100–65000 verarbeitet. Niedrigere Zahlen stehen für eine höhere Priorität.
  • Wenn ein Domänenname in einer Regel mit niedrigerer Priorität blockiert wird und dieselbe Domäne in einer Regel mit höherer Priorität zulässig ist, ist der Domänenname zulässig.
  • Regeln folgen der DNS-Hierarchie. Wenn contoso.com in einer Regel mit höherer Priorität zulässig ist, ist sub.contoso.com zulässig, auch wenn sub.contoso.com in einer Regel mit niedrigerer Priorität blockiert wird.
  • Sie können eine Richtlinie für alle Domänen konfigurieren, indem Sie eine Regel erstellen, die für die Domäne „.“ gilt. Achten Sie beim Blockieren von Domänen darauf, dass Sie die erforderlichen Azure-Dienste nicht blockieren.
• Sie können Regeln dynamisch zur Liste hinzufügen und aus dieser löschen. Achten Sie darauf, nach der Bearbeitung von Regeln im Portal Speichern auszuwählen.
• Pro Regel sind mehrere DNS-Domänenlisten zulässig. Sie müssen über mindestens eine DNS-Domänenliste verfügen.
• Jede Regel ist einer von drei Datenverkehrsaktionen zugeordnet: Zulassen, Blockieren oder Warnung.
  • Zulassen: Lässt die Abfrage für die zugeordneten Domänenlisten zu und protokolliert sie.
  • Blockieren: Blockiert die Abfrage für die zugeordneten Domänenlisten und protokolliert die Blockieraktion.
  • Warnung: Lässt die Abfrage für die zugeordneten Domänenlisten zu und protokolliert eine Warnung.
• Regeln können einzeln aktiviert oder deaktiviert werden.

Verknüpfungen virtueller Netzwerke

DNS-Resolver-Richtlinien gelten nur für VNets, die du mit der Resolver-Richtlinie verknüpfst. Du kannst eine einzelne Resolver-Policy mit mehreren VNets verknüpfen, aber nur eine DNS-Resolver-Policy mit einem einzigen VNet.

Das folgende Beispiel zeigt eine DNS-Resolver-Policy, die mit zwei VNets (myeastvnet-40, myeastvnet-50) verknüpft ist:

• Du kannst VNets nur verknüpfen, die in derselben Region wie die Resolver-Policy liegen.
• Wenn man ein VNet mit einer DNS-Resolver-Policy über eine virtuelle Netzwerkverbindung verknüpft, gilt die DNS-Resolver-Policy für alle Ressourcen innerhalb des VNet.

DNS-Domänenlisten

DNS-Domänenlisten sind Listen der DNS-Domänen, die Sie Datenverkehrsregeln zuordnen.

Wählen Sie unter EinstellungenDNS-Domänenlisten für eine DNS-Resolver-Richtlinie, um die aktuellen Domainlisten einzusehen, die der Richtlinie zugeordnet sind.

Das folgende Beispiel zeigt die DNS-Domainlisten, die mit der DNS-Resolver-Policy myeast-secpol verknüpft sind:

Du kannst eine Domainliste mit mehreren DNS-Verkehrsregeln in verschiedenen Resolver-Richtlinien verknüpfen. Jede DNS-Verkehrsregel muss mindestens eine Domainliste referenzieren. Du kannst eine DNS-Resolver-Richtlinie erstellen, bevor du Domainlisten erstellst oder verknüpfst, und sie hinzufügen, wenn du die Verkehrsregeln erstellst. Das folgende Beispiel zeigt eine DNS-Domainliste (blocklist-1), die zwei Domains (malicious.contoso.com, exploit.adatum.com) enthält:

• Eine DNS-Domänenliste muss mindestens eine Domäne enthalten. Platzhalterdomänen sind zulässig.

Wenn Sie eine DNS-Domainliste im Azure-Portal ansehen, können Sie auch Settings>Associated DNS Traffic Rules auswählen, um eine Liste aller Verkehrsregeln und der zugehörigen DNS-Resolver-Richtlinien zu sehen, die auf die DNS-Domainliste verweisen.

Anforderungen und Einschränkungen

Verwandte Inhalte

• DNS-Datenverkehr sichern und anzeigen.