كيف تحمي تصفية DNS الشركات من التصيّد الاحتيالي

لا يزال التصيّد الاحتيالي من أكثر الطرق شيوعاً التي يتسلّل بها المهاجمون إلى المؤسسات. وتتغيّر الطُّعوم باستمرار: رسائل بريد إلكتروني تنتحل صفة الموردين، ورسائل SMS عن طرود الشحن، ورموز QR على الملصقات والفواتير، ورسائل في أدوات التعاون، وإعلانات بحث مزيفة. غير أنّ كل هجمات التصيّد تقريباً تشترك في أمر واحد: فعندما ينقر الضحية على الرابط أو يمسحه أو يضغط عليه، يجب أن يبحث جهازه عن اسم النطاق قبل أن تُحمَّل الصفحة المزيفة.

وتستثمر تصفية DNS هذه اللحظة. فهي تفحص النطاق قبل أن يتصل الجهاز به، وترفض تحليله إذا كان خبيثاً أو يُرجَّح أنه كذلك، فلا تظهر الصفحة المزيفة أبداً، أياً كانت القناة التي وصل عبرها الرابط.

هجوم تصيّد كما يظهر عبر DNS

• التحضير: يسجّل المهاجم نطاقاً يقلّد علامة تجارية أو صفحة تسجيل دخول، أو يخترق موقعاً شرعياً، ويُعدّ صفحة لجمع بيانات الاعتماد.
• التوصيل: يصل الرابط إلى الضحية عبر البريد الإلكتروني أو SMS أو رمز QR أو رسالة محادثة أو إعلان.
• النقرة: يطلب جهاز الضحية من محلّل DNS عنوان النطاق. وهذه هي اللحظة التي تتدخّل فيها تصفية DNS.
• سرقة بيانات الاعتماد: إذا نجح الاستعلام، تُحمَّل الصفحة المزيفة وقد يُدخل الضحية كلمة المرور أو بيانات الدفع.
• النشاط اللاحق: تؤدي بيانات الاعتماد المسروقة أو الحمولة التي جرى تنزيلها إلى استعلامات إضافية، مثل الوصول إلى خوادم القيادة والتحكم.

كيف تعمل تصفية DNS

مع تصفية DNS، ترسل أجهزة المؤسسة استعلامات DNS الخاصة بها إلى محلّل حماية. ولكل استعلام، يفحص المحلّل النطاق وفق معلومات التهديدات وسياسة المؤسسة. وتُحلَّل النطاقات الآمنة بشكل طبيعي. أما النطاقات الواقعة ضمن الفئات المحظورة، مثل التصيّد والبرمجيات الخبيثة والقيادة والتحكم والنطاقات حديثة التسجيل، فتُحظر، أو يُعاد توجيه المستخدم إلى صفحة توضّح سبب إيقاف الوصول.

ولأنّ القرار يُتخذ عند طبقة DNS، فإنه يحمي كل تطبيق على الجهاز وليس متصفح الويب وحده، ويسري قبل فتح أي اتصال بخادم المهاجم.

لماذا تُعدّ تصفية DNS فعّالة ضد التصيّد

• لا تعتمد على القناة: فالضابط نفسه ينطبق سواء وصل الرابط عبر البريد الإلكتروني أو SMS أو رمز QR أو المحادثة أو إعلان بحث.
• تتعامل مع النطاقات الجديدة: فغالباً ما تُستخدم نطاقات التصيّد خلال ساعات من تسجيلها، قبل أن تظهر في كثير من قوائم الحظر، ولذلك فإنّ حظر النطاقات حديثة التسجيل ومنخفضة السمعة بحسب الفئة يغلق جزءاً كبيراً من تلك الفجوة.
• شبكة أمان: فعندما يتجاوز طُعم ما بوابة البريد الإلكتروني، أو يمسح مستخدم رمز QR على هاتفه، يظل الاستعلام خاضعاً للفحص.
• تكسر المراحل اللاحقة أيضاً: فإذا سلّمت صفحة التصيّد برمجية خبيثة، يمكن حظر استعلامات القيادة والتحكم الخاصة بتلك البرمجية كذلك.
• توفّر أدلة: فسجلّات DNS تُظهر الأجهزة التي حاولت الوصول إلى نطاق تصيّد، فيعرف فريق الأمن بدقة مَن يجب التواصل معه وأي كلمات مرور ينبغي إعادة تعيينها.

بناء الطبقات

تجمع تصفية DNS الجيدة بين عدة مصادر للتقييم بدلاً من الاعتماد على قائمة واحدة:

• مصادر تهديدات تُحدَّث باستمرار وتغطي نطاقات التصيّد والبرمجيات الخبيثة والقيادة والتحكم.
• ضوابط الفئات للنطاقات حديثة التسجيل وغيرها من الفئات عالية المخاطر.
• اكتشاف بالتعلّم الآلي للأنماط التي لا تستطيع القوائم مواكبتها، مثل النطاقات المولَّدة خوارزمياً.
• قواعدكم الخاصة، مثل حظر النطاقات المقلِّدة لعلامتكم التجارية أو لمورّديكم أو لصفحات تسجيل الدخول لديكم، والسماح صراحةً بالنطاقات الحيوية للأعمال.
• معلومات تهديدات خارجية من مصادر القطاع أو مراكز ISAC، تُستورد بصيغة RPZ القياسية.
• صفحة حظر واضحة تخبر المستخدمين بسبب إيقاف الموقع، فتحوّل النقرة المحظورة إلى لحظة تعليمية.

حماية تتجاوز المكتب

لا يتوقف التصيّد عند باب المكتب. فالحواسيب المحمولة على شبكات المنازل والفنادق، والفروع التي لا تضم موظفي أمن محليين، تحتاج إلى الحماية نفسها. ولذلك يغطي النشر العملي لتصفية DNS ثلاث حالات: الشبكات التي توجّه DNS الخاص بها إلى خدمة سحابية، والمواقع التي تشغّل محلّلاً محلياً لتحقيق السرعة وللأسماء الداخلية، والأجهزة المتجوّلة التي تحمل وكيلاً خفيفاً بحيث تُصفّى استعلاماتها أينما اتصلت.

ما لا تحلّ تصفية DNS محلّه

تصفية DNS طبقة قوية واحدة وليست الدفاع كله. فبعض صفحات التصيّد تُستضاف على منصات شرعية كبيرة لا يمكن حظرها كنطاق كامل، ولذلك يظل أمن البريد الإلكتروني وحمايات المتصفح ووعي المستخدمين مهمة. أما المصادقة متعددة العوامل، ويفضَّل أن تكون مقاومة للتصيّد، فتحدّ من الضرر عند سرقة كلمة المرور. وتعمل تصفية DNS بأفضل صورة عندما تقلّل عدد الطُّعوم التي تصل إلى صفحة تسجيل الدخول، وتتولى الطبقات الأخرى الباقي.

إيقاف التصيّد باستخدام DNS Armor Protect™

يطبّق DNS Armor Protect™ تصفية DNS على كل مستخدم ومكتب وجهاز متجوّل. وتجمع سياسات الأمان فيه بين مصادر التهديدات المدمجة للتصيّد والبرمجيات الخبيثة والقيادة والتحكم والنطاقات حديثة التسجيل، وفئات تصفية الويب، والاكتشاف بالتعلّم الآلي، وقواعدكم المحلية الخاصة، ومصادر RPZ الخارجية. ويمكن أن تعيد الاستعلامات المحظورة NXDOMAIN أو تُحوَّل إلى صفحة حظر، ويستغرق قرار الحظر المعتاد نحو 4 ms.

وتتبع الحماية الجهاز: سحابياً لشبكاتكم، وداخل المقر عبر جهاز Local Resolver، وعلى حواسيب Windows وmacOS وLinux المحمولة عبر Endpoint Agent. وتُظهر صفحات DNS Monitor والتحليلات الأجهزة التي حاولت الوصول إلى نطاقات تصيّد، ويبثّ Logs Connector تلك الأحداث إلى SIEM لديكم لأغراض التحقيق.