使用 DNS Armor 进行高级威胁检测

DNS Armor 由 Infoblox 提供支持，是一项全托管式服务，可为您的 Google Cloud 工作负载提供 DNS 层安全性，无需进一步安装软件。其高级威胁检测器旨在在攻击链的最早阶段（即 DNS 查询）检测恶意活动，而不会增加运维复杂性或性能开销。Compute Engine 和 GKE 实例支持威胁检查。

借助 DNS Armor，您可以在现有的云基础架构中直接处理和分析 DNS 查询。这样便无需将敏感流量重定向到第三方代理。

检测到威胁后，您可以通过 Cloud Logging 获得有关 DNS 威胁的富有实用价值的分析洞见。

DNS Armor 的工作原理

为项目启用 DNS 威胁检测器后，DNS Armor 会安全地将网络绑定 DNS 查询日志发送到 Google Cloud内 Infoblox 威胁引擎的专用部署。该引擎结合使用威胁情报 Feed 和基于 AI 的行为分析来识别威胁。

检测到的任何可疑或恶意活动都会自动生成 DNS Armor 威胁日志，然后该日志会发送回您的项目并写入 Cloud Logging，供您查看和采取行动。

借助 DNS Armor 的高级威胁检测功能，您可以检测以下威胁：

  • 用于数据渗漏的 DNS 隧道：精心设计的 DNS 查询，可秘密将数据从您的网络中传出，通常会绕过传统防火墙。
  • 恶意软件命令和控制 (C2)：遭入侵的工作负载尝试联系攻击者的服务器以获取指令时进行的 DNS 通信。
  • 网域生成算法 (DGA)：针对机器生成的随机网域的 DNS 查询，恶意软件会创建这些网域来查找并连接其命令和控制服务器。
  • 快速通量：针对快速更改其关联 IP 地址的网域的 DNS 查询，此方法用于使恶意基础设施更难被跟踪和屏蔽。
  • 零日漏洞 DNS：针对新注册网域的 DNS 查询，攻击者会在这些网域形成已知的不良声誉之前，利用这些网域进行恶意活动。
  • 恶意软件分发：针对恶意、高风险网域的 DNS 查询，这些网域由威胁行为者拥有，已知会托管或分发恶意软件，或者未来可能会托管或分发恶意软件。
  • 相似网域：对已知为恶意的网域的 DNS 查询，这些网域故意拼写错误或格式设置为看起来像合法的可信品牌。
  • 漏洞利用套件：针对尝试自动利用云工作负载中的漏洞来安装恶意软件的网站的 DNS 查询。
  • 高级持续性威胁 (APT)：针对特定域名的 DNS 查询，这些域名通常与复杂的攻击组织发起的长期定向攻击相关联，其目的往往是开展间谍活动或窃取数据。

威胁检测器操作

高级威胁检测器是一项全球配置的服务，可在项目级层使用，但在每个区域中独立运行（如需查看支持的区域列表，请参阅 DNS Armor 位置）。不过，无论在哪个本地区域分析威胁，DNS 威胁检测器配置都是相同的。您可以为项目中的所有 VPC 网络启用此服务，并能够排除最多 100 个特定网络。

检测引擎按区域部署，并接收来自同一区域的 DNS 流量。例如，来自 us-central1 中客户端的 DNS 流量会转发到部署在 us-central1 中的检测引擎。

单个网域名称可以匹配多个威胁类别。在这种情况下，您会看到同一 DNS 查询的多个威胁事件。

DNS Armor 独立于查询解析。威胁分析在查询解析后异步执行，不会给工作负载中的实际 DNS 解析路径增加额外的延迟时间。启用或停用标准 VPC 流日志或 DNS 查询日志也不会影响 DNS Armor 的运行。

针对 CNAME 链的威胁检查

DNS Armor 还可用于检查 DNS CNAME 链是否存在威胁。如果查询解析中的第一个名称是公开 CNAME 记录，则该查询将处于有效范围内。

如果 CNAME 链中的某个网域触发了威胁发现结果，系统会为相应查询生成一条威胁日志条目。dnsQuery.queryName 字段包含工作负载查询的初始网域，而 threatInfo.threatIndicator 字段包含链中触发检测的具体网域。

威胁检测器排除对象

以下内容不在 DNS Armor 检查范围内：

  • VPC 排除：VPC 网络位于 DNS Armor 排除列表中。
  • 不支持的工作负载和配置：
    • 无服务器：不支持 Cloud Run、Cloud Run functions 和 App Engine 标准环境。
    • 绕过 Cloud DNS 解析器：不支持从配置为绕过 Cloud DNS (169.254.169.254) 并直接向其他 DNS 服务器或服务（例如 8.8.8.8）发送查询的工作负载发出的查询。
    • 基于 DNS 的 Hub-and-Spoke 设计：如果 spoke VPC 网络与 DNS 对等互连地区（例如根 . 地区）相关联，以将所有查询（包括网络绑定查询）转发到中央 hub VPC 网络，则这些查询不会受到检查。这是因为查询在来源处与对等互连区域匹配，并且在中心 VPC 和辐射 VPC 中都被视为内部流量。
  • 非互联网路径解析：
    • 内部 VPC 解析：
      • Compute Engine 内部 DNS：针对默认内部 DNS 名称的查询
      • Cloud DNS 专用区域：对 Cloud DNS 专用托管区域（包括与 Service Directory 集成的区域）中的记录的查询。
    • 混合环境：使用 Cloud DNS 服务器政策或转发区域在 VPC 网络与通过 Cloud VPN 或 Cloud Interconnect 连接的专用网络之间传输的 DNS 流量：
      • 从 VPC 到混合环境以及从混合环境到 VPC 的出站或入站查询。

查询排除项

以下顶级域名 (TLD) 由 Cloud DNS 原生排除，不会产生费用：

RFC 2606 TLD 也会被原生排除，不会产生费用：

  • .test
  • .example
  • .invalid
  • .localhost

限制

DNS Armor 具有以下限制。

  • 专用 DNS 解析：DNS Armor 仅检查出站 DNS 流量。

  • 无服务器工作负载 (Cloud Run)：DNS Armor 不会检查无服务器工作负载的 DNS 查询。

  • 入站转发：DNS Armor 不会检查发送到 Cloud DNS 入站转发端点的查询。

  • DNS 对等互连区域：DNS Armor 不会检查通过 DNS 对等互连连接的查询（即使是互联网绑定查询）。

  • Secure Web Proxy：DNS Armor 不会检查 Secure Web Proxy 发出的 DNS 查询。

结算影响

系统会根据您的工作负载生成的网络绑定 DNS 查询数量以及对这些查询执行的威胁分析来向您收取费用。如需查看排除项列表，请参阅威胁检测器排除项。

DNS Armor 还会影响您的 Cloud Logging 账单，因为威胁发现结果会写入项目的 Cloud Logging 账号。如需了解详情，请参阅 Google Cloud Observability 价格：Cloud Logging。

如需详细了解如何估算 DNS Armor 查询量和优化费用，请参阅 DNS Armor 费用估算和优化。

如需详细了解 Cloud DNS 的一般价格，请参阅 Cloud DNS 价格。

其他安全选项

除了 DNS Armor 之外，另一种可用的安全选项是 Google Security Operations。您必须在项目中手动配置此服务。

Google Security Operations 是一项服务，可对安全和网络遥测数据进行标准化、编入索引、关联和分析。如需了解详情，请参阅 Google SecOps 文档。

后续步骤