Catatan
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba masuk atau mengubah direktori.
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba mengubah direktori.
Azure DNS menyediakan cara yang andal dan aman untuk menghosting domain DNS Anda dan mengelola catatan DNS di Azure. Sebagai layanan jaringan penting yang menerjemahkan nama domain ke alamat IP dan merutekan lalu lintas di internet, mengamankan penyebaran DNS Anda sangat penting untuk mencegah serangan DNS, perubahan yang tidak sah, dan gangguan layanan yang dapat memengaruhi seluruh infrastruktur Anda.
Artikel ini menyediakan panduan tentang cara terbaik mengamankan penyebaran Azure DNS Anda.
Keamanan jaringan
Keamanan jaringan untuk Azure DNS berfokus pada perlindungan infrastruktur DNS dari ancaman eksternal dan memastikan bahwa layanan resolusi DNS tetap tersedia dan aman. Kontrol jaringan yang tepat membantu mencegah serangan DNS dan mempertahankan integritas layanan.
Gunakan zona DNS privat untuk sumber daya internal: Sebarkan zona DNS Privat Azure untuk resolusi nama internal dalam jaringan virtual untuk mencegah paparan rekaman DNS internal ke server DNS publik. Zona DNS privat menjaga infrastruktur internal Anda tetap tersembunyi dari pengintaian eksternal.
Konfigurasikan kebijakan resolver DNS: Gunakan kebijakan resolver DNS untuk mengontrol dan memantau kueri DNS, memblokir akses ke domain berbahaya, dan menerapkan tindakan lalu lintas seperti mengizinkan, memblokir, atau memberi peringatan untuk daftar domain tertentu. Untuk informasi lebih lanjut, lihat kebijakan resolver DNS.
Menerapkan rekaman alias untuk pembaruan otomatis: Gunakan rekaman alias DNS untuk memperbarui referensi alamat IP secara otomatis saat sumber daya yang mendasar berubah, mencegah risiko keamanan dari entri DNS kedaluarsa yang mungkin mengalihkan pengguna ke sumber daya yang disusupi atau salah. Untuk informasi selengkapnya, lihat Gambaran umum rekaman alias DNS Azure.
Akses istimewa
Manajemen akses istimewa untuk Azure DNS memastikan bahwa hanya pengguna yang berwenang yang dapat memodifikasi zona dan rekaman DNS sambil mengikuti prinsip hak istimewa paling sedikit. Kontrol akses yang tepat mencegah perubahan DNS tidak sah yang mengalihkan lalu lintas atau membahayakan layanan Anda.
Menerapkan kontrol akses berbasis peran: Gunakan kontrol akses berbasis peran Azure (RBAC) untuk mengelola akses ke sumber daya DNS melalui penetapan peran bawaan. Tetapkan peran kepada pengguna, grup, perwakilan layanan, dan identitas terkelola berdasarkan tanggung jawab spesifik mereka. Untuk informasi lebih lanjut, lihat Cara melindungi zona dan catatan DNS.
Gunakan izin DNS terperinci: Tetapkan peran DNS tertentu seperti Kontributor Zona DNS atau Kontributor Zona DNS Privat daripada peran administratif yang luas. Buat peran kustom untuk kontrol terperinci, seperti memungkinkan pengguna mengelola hanya jenis rekaman tertentu seperti rekaman CNAME. Untuk informasi lebih lanjut, lihat Cara melindungi zona dan catatan DNS.
Menerapkan kontrol akses tingkat zona dan tingkat rekaman: Mengonfigurasi izin RBAC di tingkat yang berbeda - langganan, grup sumber daya, zona DNS individual, atau kumpulan catatan individual - untuk memastikan pengguna hanya dapat mengakses sumber daya DNS yang mereka butuhkan untuk tanggung jawab mereka.
Menerapkan kunci sumber daya untuk zona penting: Menerapkan kunci Azure Resource Manager ke zona DNS dan kumpulan catatan untuk mencegah penghapusan atau modifikasi yang tidak disengaja. Gunakan kunci CanNotDelete untuk mencegah penghapusan zona dan kunci ReadOnly untuk mencegah semua perubahan. Untuk informasi lebih lanjut, lihat Cara melindungi zona dan catatan DNS.
Menerapkan prinsip hak istimewa paling sedikit: Beri pengguna hanya izin minimum yang diperlukan untuk melakukan tugas manajemen DNS mereka. Gunakan peran DNS tertentu daripada peran administratif yang luas untuk membatasi potensi paparan keamanan.
Akses administratif yang aman: Menerapkan autentikasi multifaktor dan stasiun kerja akses istimewa untuk semua pengguna yang memiliki izin untuk memodifikasi zona dan rekaman DNS.
Tinjauan akses reguler: Melakukan tinjauan berkala tentang izin pengguna dan hak akses ke sumber daya DNS untuk memastikan bahwa akses tetap sesuai dan mengikuti prinsip hak istimewa paling sedikit.
Perlindungan data
Perlindungan data untuk Azure DNS berfokus pada perlindungan integritas data DNS dan mencegah akses tidak sah ke informasi konfigurasi DNS dan data kueri.
Gunakan pertahanan mendalam untuk perlindungan zona: Terapkan peran kustom dan kunci sumber daya secara bersamaan sebagai pendekatan pertahanan mendalam yang komprehensif untuk melindungi zona DNS penting dari perubahan yang tidak disengaja atau berbahaya.
Menerapkan proses penghapusan dua langkah: Untuk zona penting, gunakan peran kustom yang tidak menyertakan izin penghapusan zona. Tanpa izin penghapusan, administrator harus terlebih dahulu memberikan izin penghapusan lalu melakukan penghapusan sebagai proses dua langkah untuk mencegah penghapusan zona yang tidak disengaja.
Lindungi integritas kueri DNS: Pantau pola kueri DNS untuk mendeteksi potensi upaya penerowongan DNS, kueri ke domain berbahaya yang diketahui, atau indikator kompromi lain yang dapat menunjukkan eksfiltrasi data melalui saluran DNS.
Pengelogan dan deteksi ancaman
Pengelogan dan pemantauan komprehensif untuk Azure DNS memberikan visibilitas penting ke dalam pola kueri DNS dan potensi peristiwa keamanan. Pengelogan dan pemantauan memungkinkan deteksi ancaman yang efektif, investigasi keamanan, dan membantu memenuhi persyaratan kepatuhan.
Aktifkan Pertahanan Microsoft untuk DNS: Gunakan Azure Defender untuk DNS untuk memantau kueri DNS dan mendeteksi aktivitas mencurigakan tanpa memerlukan agen pada sumber daya Anda. Azure Defender untuk DNS menyediakan deteksi ancaman real-time untuk serangan berbasis DNS. Untuk informasi selengkapnya, lihat Gambaran Umum Microsoft Defender untuk DNS.
Mengonfigurasi log sumber daya Azure: Aktifkan log sumber daya untuk layanan Azure DNS untuk mengambil informasi kueri DNS terperinci dan mengirimnya ke ruang kerja Log Analytics, akun penyimpanan, atau hub peristiwa untuk analisis dan retensi jangka panjang. Untuk informasi selengkapnya, lihat Metrik dan Pemberitahuan Azure DNS.
Menyiapkan pemantauan dan pemberitahuan: Mengonfigurasi pemberitahuan Azure Monitor untuk memberi tahu administrator saat pola kueri DNS yang tidak biasa, perubahan konfigurasi, atau potensi ancaman keamanan terdeteksi.
Memantau analitik kueri DNS: Menganalisis log kueri DNS untuk mengidentifikasi pola lalu lintas yang tidak biasa, potensi upaya penerowongan DNS, atau kueri ke domain berbahaya yang diketahui.
Aktifkan pengelogan audit: Lacak semua perubahan administratif pada zona dan rekaman DNS untuk mempertahankan jejak audit komprehensif untuk tujuan penyelidikan kepatuhan dan keamanan.
Memantau perubahan yang tidak disengaja: Buat pemberitahuan untuk mendeteksi zona DNS yang tidak terduga atau mencatat perubahan dan merespons insiden atau kesalahan keamanan dengan cepat.
Manajemen aset
Manajemen aset untuk Azure DNS melibatkan penerapan kontrol tata kelola, memantau konfigurasi, dan memastikan kepatuhan terhadap kebijakan keamanan organisasi. Manajemen aset yang tepat membantu menjaga postur keamanan dan visibilitas operasional.
Menerapkan tata kelola Azure Policy: Gunakan Azure Policy untuk memantau dan menerapkan konfigurasi sumber daya Azure DNS Anda. Konfigurasikan kebijakan untuk mengaudit dan menerapkan konfigurasi aman di seluruh zona dan rekaman DNS. Untuk informasi selengkapnya, lihat Definisi bawaan Azure Policy untuk layanan jaringan Azure.
Gunakan Pertahanan Microsoft untuk Cloud: Mengonfigurasi Azure Policy melalui Pertahanan Microsoft untuk Cloud untuk mengaudit dan menerapkan konfigurasi sumber daya DNS Anda. Buat pemberitahuan saat penyimpangan konfigurasi terdeteksi.
Melaksanakan penegakan konfigurasi: Gunakan efek tolak dari Azure Policy dan deploy-if-not-exists untuk menerapkan konfigurasi yang aman di seluruh sumber daya Azure DNS dan mencegah penerapan yang tidak sesuai.
Pertahankan inventori sumber daya: Simpan catatan terperinci tentang zona DNS, kumpulan catatan, dan konfigurasinya untuk mendukung penilaian keamanan dan pelaporan kepatuhan.
Menerapkan pemberian tag sumber daya: Menerapkan tag sumber daya yang konsisten ke sumber daya DNS untuk tujuan organisasi, pelacakan biaya, dan kepatuhan keamanan.
Memantau kepatuhan konfigurasi: Tinjau konfigurasi DNS secara teratur terhadap standar keamanan organisasi Anda dan gunakan Azure Policy untuk mendeteksi dan memulihkan penyimpangan konfigurasi secara otomatis.
Dependensi zona dokumen: Pertahankan dokumentasi hubungan zona DNS dan dependensi untuk memahami efek perubahan dan memastikan proses manajemen perubahan yang tepat.