جدار حماية DNS مقابل جدار الحماية التقليدي: الفروق الرئيسية

تشغّل معظم المؤسسات جدار حماية للشبكة بالفعل، وغالباً ما يكون جدار حماية من الجيل التالي (NGFW) عند حافة الشبكة وفي مركز البيانات. لذلك حين يُقترح جدار حماية DNS، يكون السؤال الأول عادةً: ألا نملك مثل هذا الجدار أصلاً؟

والجواب المختصر: لا. فجدار حماية DNS وجدار الحماية التقليدي يتشاركان الاسم، لكنهما يعملان في طبقتين مختلفتين، ويريان معلومات مختلفة، ويتخذان قراراتهما في لحظتين مختلفتين. وفهم هذه الفروق يبيّن لماذا يكمّل أحدهما الآخر بدلاً من أن ينافسه.

ماذا يفعل جدار الحماية التقليدي

يتحكّم جدار الحماية التقليدي في حركة مرور الشبكة. فهو يفحص الحزم والجلسات ويقرّر السماح بها بناءً على عناوين IP للمصدر والوجهة والمنافذ والبروتوكولات. وتتتبّع جدران الحماية ذات الحالة الاتصالات؛ أمّا جدران الحماية من الجيل التالي فتضيف تحديد التطبيقات ومنع الاختراق، وفكّ تشفير حركة TLS حيثما تسمح الشهادات والسياسات بذلك لإجراء فحص أعمق.

ويتصرّف جدار الحماية حيال اتصال تجري محاولته بالفعل. فبحلول الوقت الذي يرى فيه الحزمة، يكون الجهاز قد قرّر أين يتصل، وقد حلّ عنوان تلك الوجهة.

ماذا يفعل جدار حماية DNS

يعمل جدار حماية DNS خطوة أبكر. فهو يقع في مسار تحليل DNS، وعادةً بوصفه المحلِّل التكراري الذي يستعلم منه المستخدمون والأجهزة، ويفحص كل نطاق مطلوب في مقابل استخبارات التهديدات وسياستك قبل أن يُعيد أي إجابة.

فإذا كان النطاق خبيثاً أو غير مسموح به، لا يُعيد جدار حماية DNS العنوان الحقيقي. وبحسب السياسة، يجيب بأن النطاق غير موجود (NXDOMAIN)، أو يُعيد إجابة فارغة (NODATA)، أو يحوّل المستخدم إلى صفحة تحذير. ومن دون عنوان، لا يبدأ الاتصال أصلاً. ويعتمد معظم جدران حماية DNS على مناطق سياسة الاستجابة (RPZ)، وهي صيغة قياسية في القطاع لتوزيع قواعد الحظر والسماح هذه.

الفروق الرئيسية في لمحة

• الطبقة: جدار حماية الشبكة يفحص الحزم والجلسات؛ وجدار حماية DNS يفحص عمليات البحث عن أسماء النطاقات.
• التوقيت: جدار حماية الشبكة يتصرّف عند محاولة الاتصال؛ وجدار حماية DNS يتصرّف قبل الاتصال، لحظة البحث عن الوجهة.
• ما يراه: جدار حماية الشبكة يرى أساساً عناوين IP والمنافذ؛ وجدار حماية DNS يرى اسم النطاق، وهو يحمل دلالة أكبر بكثير على النيّة والسمعة.
• الحركة المشفّرة: جدار حماية الشبكة يحتاج إلى فكّ تشفير TLS كي يرى جزءاً كبيراً من الحركة الحديثة؛ وجدار حماية DNS يقرّر بناءً على الاسم، من دون فكّ تشفير أي شيء.
• التغطية خارج الشبكة: جدار حماية الحافة يحمي الحركة التي تمرّ عبره؛ أمّا جدار حماية DNS فيستطيع أيضاً حماية الحواسيب المحمولة المتنقلة عبر Endpoint Agent خفيف.
• الإشارة لمركز SOC: تُظهر سجلات DNS بدقة أي جهاز طلب أي نطاق، وغالباً ما تكون أبكر علامة على الإصابة.
• الجهد: نشر جدار حماية DNS خفيف لأنه يغيّر الجهة التي ترسل إليها الأجهزة استعلامات DNS، بدلاً من أن يعترض كل حزمة في المسار المباشر.

ما يلتقطه جدار حماية DNS وتفوّته قواعد IP

يغيّر المهاجمون عناوين IP بسهولة أكبر بكثير ممّا يغيّرون نموذج تشغيلهم، كما تتشارك مواقع خبيثة كثيرة عناوين IP مع مواقع مشروعة على المنصات السحابية وشبكات توصيل المحتوى. ولذلك تكون القرارات المبنيّة على اسم النطاق أدقّ في أحيان كثيرة:

• النطاقات حديثة التسجيل والنطاقات المنتحلة لهوية غيرها المستخدمة في التصيّد، وغالباً ما تُحظر بحسب الفئة قبل أن تذكرها أي قائمة حظر.
• بنية Fast-flux التحتية، حيث ينتقل نطاق خبيث واحد بين عناوين IP كثيرة.
• خوارزميات توليد النطاقات (DGA) التي تنشئ آلاف نطاقات القيادة والتحكّم المؤقتة.
• نفق DNS، حيث تُخفى البيانات داخل استعلامات DNS نفسها ولا تظهر أبداً كاتصال عادي.
• المحتوى الخبيث المستضاف على عناوين IP مشتركة، حيث يؤدي حظر العنوان إلى حظر خدمات مشروعة معه.

أين يحتاج جدار حماية DNS إلى عون

جدار حماية DNS ليس بديلاً عن جدار حماية الشبكة. فهو لا يستطيع إيقاف الحركة التي لا تستخدم DNS أصلاً، مثل البرمجيات الخبيثة التي تتصل مباشرة بعنوان IP مضمَّن في شيفرتها. ويمكن أيضاً تجاوزه إذا كانت الأجهزة حرّة في استخدام محلِّل آخر، كخدمة DNS عبر HTTPS عامة مدمجة في المتصفح. كما أنه لا يفحص محتوى الاتصال المسموح به. وهذه الثغرات هي تحديداً الموضع الذي يتفوّق فيه جدار حماية الشبكة.

استخدامهما معاً

تجعل أقوى التصاميم كلا الضابطين يعزّز أحدهما الآخر:

• استخدم جدار حماية الشبكة لإجبار كل حركة DNS على المرور عبر جدار حماية DNS: اسمح بحركة DNS الصادرة (المنفذ 53) وDNS عبر TLS (المنفذ 853) إلى المحلِّلات المعتمدة لديك فقط، واحظر نقاط DNS عبر HTTPS العامة المعروفة.
• دع جدار حماية DNS يوقف معظم الوجهات الخبيثة مبكراً، فيقلّ الحمل والضجيج على جدار حماية الشبكة.
• تبادل الاستخبارات في الاتجاهين: صدّر خلاصات التهديدات من جدار حماية DNS بصيغة RPZ إلى المحلِّلات الأخرى التي تشغّلها، وأعد نتائج جدار الحماية إلى سياسة DNS.
• اربط سجلات DNS وسجلات جدار الحماية في SIEM لترى السلسلة كاملة، من عملية البحث إلى محاولة الاتصال.

موقع DNS Armor Protect™ من ذلك

DNS Armor Protect™ هو جدار حماية DNS مبنيّ في دول مجلس التعاون الخليجي. يُقيَّم كل استعلام وفق سياسة الأمن الخاصة بمصدره: خلاصات مدمجة للتهديدات وتصفية الويب والتطبيقات والمواقع الجغرافية؛ واكتشاف بالتعلّم الآلي لنفق DNS؛ ومجموعات القواعد المحلية الخاصة بك لمطابقة النطاقات وIP وPTR؛ وأي خلاصات RPZ خارجية تشترك فيها. ويمكن تشغيل السياسات وفق جدول زمني، مثل اعتماد موقف أكثر تشدداً بعد ساعات العمل.

ويعمل في السحابة، أو داخل المقر عبر الجهاز الافتراضي Local Resolver، أو على الأجهزة المتنقلة عبر Endpoint Agent. ويمكن تصدير خلاصاتك بصيغة RPZ إلى BIND وInfoblox ومحلِّلات أخرى، كما يبثّ Logs Connector أحداث DNS إلى Sentinel أو Splunk أو QRadar أو Elastic أو ArcSight، فيمكن قراءة جدار حماية DNS وجدار حماية الشبكة جنباً إلى جنب.