使用Microsoft零信任DNS和Infoblox保护性DNS增强安全性

零信任 DNS（ZTDNS）”的私人预览版。该功能将锁定设备使其只能访问经保护性DNS（PDNS）服务批准的网络目的地。除了与保护性DNS服务器和其他必要的网络连接服务（如DHCP和NDP）的连接外，所有其他出站IP流量都将被阻止。可以为受信任的IP子网手动列出一小部分例外情况，以确保某些服务可以访问。

Infoblox是微软ZTDNS愿景的坚定支持者。Infoblox是全球市场上最好的PDNS和企业级DNS服务器提供商，因此我们可以帮助任何客户最大限度地发挥采用ZTDNS的优势。从行业角度来看，我们认为ZTDNS的原则也需要扩展到MacOS、iOS、Android 等其他操作系统，并期待ZTDNS得到广泛采用。

什么是保护性DNS？

保护性DNS(PDNS)是一种安全服务，可分析DNS查询并阻止解析恶意域和IP。PDNS 结合使用DNS威胁情报、人工智能/机器学习引擎和响应策略区(RPZ) 功能，可阻止与已知或可疑恶意网站的连接，这些恶意网站可能与勒索软件、网络钓鱼、相似域、数据外渗和间谍软件相关。PDNS的采用可以让企业的网络更加安全。

当用户或设备试图连接到恶意网站时，保护性DNS服务器可以在连接初始就将攻击中断。PDNS可以拒绝解析该域，因为它知道该域是恶意的。所有这些都可以在其他安全设备（如NGFW或代理）看到或采取行动之前完成。根据美国国家安全局（NSA）的数据，92%的恶意软件攻击可以通过DNS阻止，这意味着PDNS可以在攻击链条的早期阻止威胁，帮助卸载下游防火墙等安全设备的负担，并减少向SIEM发出的警报，有时可将警报数量减少50%至60%。

ZTDNS的优势

虽然在实施ZTDNS时可能会出现一些合理的复杂情况，例如在使用电话会议应用程序、媒体流和打印时。但正如微软正确指出的那样，利用本地网络PDNS解决方案（如Infoblox）可以帮助减少许多复杂情况。使用ZTDNS的企业只允许连接到由已配置（且受信任）的PDNS服务器解析的IP地址，因此可以实现以下功能：

·阻止直接使用硬编码IP地址绕过DNS。

·防止浏览器使用不受信任的加密DNS解析器，而不是使用经认可的操作系统DNS。

从商业利益的角度来看，这意味着企业现在可以将DNS作为企业范围内的安全控制点来执行，主动保护设备不被入侵，降低业务风险。

Infoblox PDNS和DNS检测与响应

微软ZTDNS验证了Infoblox长期以来的立场，即DNS不仅仅可用于域名解析，还是一种非常有效的安全控制手段。DNS提供真正的深度防御和主动安全，是执行安全策略和保护企业免受网络威胁的强大工具。来自Infoblox的BloxOne威胁防御系统是业界领先的保护性DNS服务器，可针对勒索软件、可疑域、网络钓鱼、鱼叉式网络钓鱼、相似域、零日DNS、DGA等网络威胁提供全面、及时的保护。

Infoblox威胁情报可在攻击者创建基础架构时对其进行跟踪，以便更早地识别已知和可能的威胁。通过复杂的算法，甚至在可疑域和恶意域被武器化并用于恶意活动之前，就能检测到这些域。这些检测结果与威胁行为者的基础架构相互关联和连接，使Infoblox能够在基础架构成长和演变的过程中对其进行监控。BloxOne威胁防御系统将威胁情报用于策略执行，平均可在域名被用于攻击前63天阻止威胁。