IPS用のDNSの保護をカスタマイズする

この記事では、アカウントがIPSサービスの一部としてどのDNSの保護を実施するかを選択する方法について説明します。

DNSの保護の概要

CatoのDNS保護はIPSサービスを強化し、アカウント内のDNSトラフィックのセキュリティレベルをきめ細かに制御します。 DNSの保護は、DNSサーバーの種類にかかわらず適用されます。すなわち、Cato DNSサーバーおよび信頼されたサーバーと信頼されていないサーバーの両方に適用されます。

Catoは継続的にDNSドメインとカテゴリを更新し、DNS保護ページに新しいタイプの保護を追加します。

DNSの保護は、ホストと悪意のあるサーバー間に接続が確立される前にDNSリクエストをブロックすることで強力なセキュリティを提供します（TCPまたはUDPのハンドシェイクはありません）。 DNSの保護が無効になっている場合でも、IPSサービスはDNSの脅威に対する一部の保護を提供します。しかし、それはDNSの保護でカバーされているすべての脅威をカバーしているわけではなく、宛先にアクセスされた後の段階でブロックされます。したがって、IPSとDNSの保護の両方を有効化することをベストプラクティスとして推奨します。

脅威カタログを使用して、基本的なIPSサービスに含まれているDNSの保護や、DNSの保護に含まれているものを確認することができます。

DNSの保護タイプを理解する

特定のDNSの保護を有効化または無効化して、セキュリティ要件に対応させることができます。

悪意のあるドメイン: DNSリクエストを介して悪意のあるコンテンツをホストまたは配布することが確認されたドメインを検出します。これらのリクエストをブロックすることで、ユーザーやデバイスがマルウェア、エクスプロイト、その他の脅威に使用される宛先に接続するのを防ぐことができます。
新規登録ドメイン: 最近登録され、まだ確立された評判を持たないドメインへのDNSリクエストを検出します。攻撃者は新規登録ドメインを短期間のキャンペーン、フィッシング、マルウェア配信、コマンドおよびコントロール活動に利用することがよくあります。
- DNSの保護がリスクのあるドメインをどの程度積極的に特定してブロックするかを制御するために、最後の7日、14日、21日、30日、または60日に登録されたドメインをブロックするしきい値を設定します。
クリプトマイナー: 暗号通貨のマイニング活動に関連するドメインへのDNSリクエストを検出します。これにより、デバイスのリソースを消費し、パフォーマンスを低下させ、ホストの侵害を示す不正なマイニングソフトウェアを特定してブロックすることができます。
コマンドおよびコントロール（C&C）: マルウェアが攻撃者の制御するインフラストラクチャと通信するために使用するドメインへのDNSリクエストを検出します。この保護には、攻撃者が悪意のあるサーバーを隠蔽し、テイクダウンを困難にするためにDNSレコードを迅速に変更するDNS Fast-Fluxドメインが含まれています。
ドメイン生成アルゴリズム: マルウェアがコマンドおよびコントロールサーバーを見つけるために一般的に使用するアルゴリズムで生成されたドメインへのDNSリクエストを検出します。これらのドメインをブロックすることで、攻撃者が頻繁にアクティブなドメイン名を変更してもマルウェア通信を妨害できます。
フィッシング: 信頼できるWebサイトを偽って資格情報や機密情報を盗むために使用されるドメインへのDNSリクエストを検出します。この保護には、ブラウザ保護を回避して内部リソースにアクセスしようとする悪意のあるドメインによるDNSリバインディング攻撃も含まれます。
ダイナミックDNS: 頻繁に異なるIPアドレスを指すように変更されるダイナミックDNSサービスを使用するドメインへのDNSリクエストを検出します。ダイナミックDNSは正当なものである場合がありますが、攻撃者はしばしば悪意のあるインフラストラクチャを迅速に移動させ、検出を回避するために使用します。
DNSトンネリング: DNSクエリや応答を通じてデータをトンネルしようとするDNSトラフィックを検出します。この保護には、データを徐々に外部に送信し、量に基づく検出を回避する超低速のDNSトンネリング技術も含まれます。

DNSシンクホーリング

DNSリクエストがブロックされた場合、リクエストがホストからプライベートDNSサーバーやアクセスポイントなどを通過しているため、元のホストのIPアドレスを特定できないことがよくあります。 Catoはこの問題を解決し、悪意のあるDNSリクエストを発行するネットワーク上の感染したホストのIPアドレスを特定するDNSシンクホーリングオプションを提供します。

シンクホールイベントの動作はどのように機能しますか？

DNS保護がシンクホールのアクションに設定されているとき、DNS保護エンジンは悪意のあるドメインをクエリしているホストに対して偽装された応答を返し、そのクエリを指定されたCatoシンクホールサーバーのIPアドレスに解決します。 Catoは、(例: 10.254.x.x) のCatoシステム範囲にIPアドレスをホストにプッシュします。ホストはそのIPアドレスにインターネット経由で直接接続しようとし、IPSサービスはホストのIPアドレスを特定します。サービスはトラフィックをブロックし、イベントログの送信元IPとしてホストのIPアドレスを報告します。

シンクホールイベントを理解する

シンクホールアクションが実行されると、2つのイベントが生成されます。最初のイベントは、ホストが悪意のある宛先を最初にクエリしたときに実行されたシンクホールアクションを報告します。送信元IPアドレスフィールドはクライアントホストのアドレスを反映しない場合があります。 2つ目のイベントは、ホストがシンクホールサーバーに接続しようとしたときにDNSリクエストがブロックされたことを報告し、イベントのアクションもシンクホールです。この2つ目のイベントは、送信元IPアドレスフィールドで実際のホストIPアドレスを報告します。これにより、イベントページをフィルタリングして、シンクホールサーバーIPアドレスに接続するすべてのトラフィックのイベントを表示することで、ネットワーク上の感染したホストを簡単に特定できます。

DNS保護イベントについて詳しくは、下記のDNS保護イベントの分析をご覧ください。

ブロックおよびシンクホールアクションのエンドユーザーエクスペリエンス

IPSエンジンがDNSリクエストをブロックすると、エンドユーザーがDNS応答を受信する前にドメインへの接続が切断されます。

DNSリクエストがシンクホールされると、エンドユーザーはDNS応答を受信し、ホストがシンクホールサーバーに接続を試みた際に接続が切断されます。

前提条件

DNSの保護はIPSライセンスに含まれています。 IPSライセンスの購入については、Catoの担当者にお問い合わせください。

悪意のあるドメインのサンプルワークフロー

これは、悪意のあるドメイン DNS保護ワークフローの例であり、ホストが悪意のあるドメインにアクセスしようとしたときのものです。

ホストデバイスがブラウザーから悪意のあるドメインにアクセスしようとします。
IPSエンジンは悪意のあるドメインへのDNSリクエストがあることを識別し、DNSリクエストをブロックします。
ホストと悪意のあるサーバーが接続する前に、DNSリクエストはブロックされます（TCPまたはUDPハンドシェイクなし）。

アカウントのDNS保護の定義

DNS保護ページを使用して、IPSエンジンがアカウントに対して強制するDNS保護のタイプを選択します。アカウントのDNS保護を有効にすると、Catoクラウド経由で送信されるすべてのDNSリクエストがIPSエンジンによって検査されます。 CatoをDNSサーバーとして使用しないアカウントでも、DNSリクエストはプライベートDNSサーバーを使用する場合でも検査されます。

各DNS保護について、以下のアクションのいずれかを設定できます：

許可 - IPSエンジンは保護を強制しませんが、トラフィックを監視するためのイベントが生成されます。
ブロック - IPSエンジンは保護に一致するトラフィックのDNSリクエストをブロックし、イベントが生成されます。
シンクホール - 最初にDNSリクエストがシンクホールサーバーに送られ、次にサーバーへの接続を試みるトラフィックがブロックされます。シンクホールアクションの各フェーズで別のイベントが生成されます。詳細については、上記のDNSシンクホール化を参照してください。

DNS保護のデフォルト設定

Cato Security チームは、組織の正当なトラフィックに影響を与える可能性に基づいて各DNS保護のデフォルトアクションを定義します。

デフォルトのブロックアクション - デフォルトでブロックアクションが割り当てられている保護は、通常、偽陽性が少なく、正当なトラフィックに影響を与えません。これらのDNS保護をデフォルトのブロックアクションのままにしておくことをお勧めします。
デフォルトの許可アクション - デフォルトで許可アクションが割り当てられている保護は、偽陽性を生成する可能性があり、組織の正当なトラフィックをブロックする可能性があります。これらの保護をブロックアクションに変更する前に、最初に許可アクションで数週間実行し、偽陽性を監視するためにイベントを確認することをお勧めします。

DNS保護ポリシー.png

アカウントのDNS保護を定義するには：

ナビゲーションペインからセキュリティ > DNS保護を選択します。
スライダーをクリックして、アカウントのDNS保護ポリシーを有効（緑）または無効（灰色）にします。
DNS保護タイプをカスタマイズするには、その行でアクションまたはトラックをクリックします。
そのDNS保護タイプのパネルが開きます。
1. アクションセクションで、保護に一致するDNSトラフィックを許可、ブロック、またはシンクホールするかを選択します。
  注: 新しい登録ドメインにアクションを設定した場合、最後の14、21、または30日以内に登録されたドメインをブロックするしきい値を設定します。
2. トラックセクションで、DNSトラフィックが保護に一致する場合にメール通知を送信するかどうかを選択します。
適用をクリックし、次に保存をクリックします。

DNSトラフィックの許可リスト登録

IPSページでIPS許可リストルールを作成して例外を定義し、特定のDNS保護署名を持つDNSトラフィックを許可するか、ブロックイベントログからDNS保護署名を許可リスト登録できます。 IPS許可リストルールの作成について詳しくは、IPS署名の許可リスト登録を参照してください。

特定の信頼されたドメイン名をIPS許可リストに登録して、DNS保護スキャンから除外することもできます。

特定のドメイン名を許可リスト登録するには：

ナビゲーションメニューからセキュリティ > IPSをクリックします。
新規をクリックします。 新しい許可リストパネルが開きます。
ルールの名前を入力します。
ルールのスコープを次のように選択します：
- デフォルトのCato DNSサーバーまたはプライベートDNSサーバーを使用するよう設定されたトラフィックに対して、WANを選択します。
- パブリックDNSサーバーを使用するよう設定されたトラフィックに対して、アウトバウンドを選択します。
宛先でドメインを選択し、必要なドメイン名を追加します。
適用をクリックします。 IPS許可リストルールがルールベースに追加されます。
保存をクリックします。

脅威ダッシュボードでDNS保護をモニタリング

脅威ダッシュボードには、アカウントのDNS保護の状態を監視するのに役立つ次の3つのウィジェットが含まれています：

脅威の種類 - DNSカテゴリのタイプ名と各タイプのイベント数を表示します
トップドメイン - ブロックされたトップドメインのリストと各ドメインのDNS保護イベント数を表示します
トップホスト - 各ホスト（送信元IPアドレス）のDNS保護イベント数とともにトップホストのリストを表示します

脅威ダッシュボード_-_DNS.png

DNS保護イベントの分析

ホーム > イベントページには、アカウントのすべてのDNS保護イベントが表示されます。強力な検索ツールを使用して、関連するデータを含むキーイベントを詳細に調査して識別できます。

DNS保護イベントは、以下のフィールドで特定できます：

イベントタイプ - セキュリティ
サブタイプ - DNS保護
DNS保護カテゴリ - DNSリクエストに一致したCatoのDNS保護タイプ
DNSクエリ - DNSリクエストでクエリされたドメイン

イベントページの使用方法についてはこちらをご覧ください。イベントをフィルタするためにDNS保護プリセットを使用できます。