最小化使用基于TLS的DNS（DoT）和基于HTTPS的DNS（DoH）的风险

DoH和DoT保护

您可以控制DNS流量吗？组织在保护网络方面投入了大量时间，金钱和精力。但是，DNS经常被忽略。

DNS带来的风险的一个很好的概述是在Infosecurity会议上的Verisign演示。

. Palo Alto Networks Unit 42, 85% DNS , , . DNS NGFW. 

DNS, DNS . . DNS-. DNS, , . , , DNS . . Garmin, ,  10 .

NGFW DNS-over-TLS (DoT) DNS-over-HTTPS (DoH), DNS .

DNS?

DNS , . DNS DNS- . DNS Man-in-the-Middle, , DNS ( ) . 

DNS:

1. DNS-over-HTTPS (DoH)

2. DNS-over-TLS (DoT)

: DNS- ... . TLS (Transport Layer Security) , , , DNS, , DNS.

DNS . , , . , DoH DoT.

DNS over HTTPS (DoH)

DoH 443 HTTPS, RFC , , « DoH HTTPS », « DNS» , , ( RFC 8484 DoH, 8.1 ). DoH TLS , HTTPS HTTP/2, DNS HTTP.

, DoH

HTTPS- DoH, ( ) DNS, DoH, , DNS . DoH HTTPS. 

 Google, Mozilla DoH  , DoH DNS. Microsoft   DoH . , - , DoH . ( , : PsiXBot Google DoH , PsiXBot DNS   Godlua .) , , DoH , DoH (C2) .

DoH

DoH NGFW HTTPS DoH ( : dns-over-https). 

-, , NGFW HTTPS,   .

-, «dns-over-https», :

( HTTPS) NGFW «» «dns-over-https», DoH , HTTPS DoH (.  Applipedia Palo Alto Networks   «dns-over-https»).

DNS over TLS (DoT)

DoH , DoT , , DNS ( RFC 7858 , 3.1 ).

DoT TLS , DNS, , 853 ( RFC 7858, 6 ).  DoT , , , .

, DoT

Google DoT  Android 9 Pie  , DoT, . DoT , , 853 .

DoT

DoT , :

• 配置NGFW解密目标端口853的所有流量。通过解密流量，DoT将显示为DNS应用程序，您可以对其执行任何操作，例如，启用Palo Alto Networks DNS安全订阅  以控制DGA域或现有的 DNS Sinkholing 和anti -间谍软件。

• 或者，App-ID引擎可以完全阻止端口853上的“ dns-over-tls”通信。通常默认情况下将其阻止，无需采取任何措施（除非您明确允许端口上的“ dns-over-tls”应用程序或通信） 853）。