この記事では、DNSリゾルバのポリシーと脅威インテリジェンスフィードの概要を提供します。
DNSリゾルバーポリシーの設定や脅威インテリジェンスフィードの詳細については、以下のハウツーガイドをご覧ください。
DNSリゾルバポリシーとは何ですか?
DNSリゾルバポリシーは、仮想ネットワーク(VNet)レベルでDNSクエリをフィルタリングしログ記録する機能を提供します。 ポリシーは、VNet 内のパブリックとプライベートの両方の DNS トラフィックに適用されます。 DNSログはストレージアカウント、Log Analyticsワークスペース、Event Hubsに送信できます。 DNS クエリに対して選択的に許可、アラート、ブロックを行うことができます。
DNSリゾルバポリシーを使用することで、以下のことができます:
- 既知または悪意のあるドメインの名前解決をブロックして、DNS ベースの攻撃から保護するルールを作成します。
- 詳細な DNS ログを保存して表示し、DNS トラフィックに関する分析情報を得ます。
DNSリゾルバポリシーには以下の関連要素とプロパティがあります:
- ロケーション:リゾルバポリシーを作成・展開するAzureリージョン。
- DNS トラフィック ルール: 優先度とドメイン リストに基づいて許可、ブロック、またはアラートを行うルール。
- 仮想ネットワークリンク:リゾルバポリシーをVNetに関連付けるリンクです。
- DNS ドメイン リスト: DNS ドメインの場所ベースのリスト。
DNSリゾルバポリシーはAzure PowerShellまたはAzureポータルを使って設定できます。
DNS 脅威インテリジェンスとは
Azure DNSリゾルバポリシーと脅威インテリジェンスフィードは、顧客の仮想ネットワーク上のセキュリティインシデントを検出し防止するのに役立ちます。 Microsoftのセキュリティレスポンスセンター(MSRC)が提供した既知の悪意あるドメインを名前解決からブロックします。
DNSリゾルバーポリシーがすでに提供している機能に加え、管理ドメインリストも得られます。 Microsoft独自の管理型脅威インテリジェンスフィードを使用することで、既知の悪意あるドメインからワークロードを保護するのに役立ちます。
脅威インテリジェンスフィードと共にDNSリゾルバポリシーを使用することの利点は以下の通りです:
スマート保護:
- ほぼすべての攻撃は DNS クエリで始まります。 脅威インテリジェンスマネージド ドメインの一覧を使用すると、セキュリティ インシデントの検出と防止を早期に行うことができます。
継続的な更新:
- Microsoft は、新しく検出された悪意のあるドメインから保護するためにフィードを自動的に更新します。
悪意のあるドメインの監視とブロック:
アラートのみのモードでのアクティビティの監視、またはブロック モードでの疑わしいアクティビティのブロックの柔軟性。
ログを有効にすると、仮想ネットワーク内のすべてのDNSトラフィックが可視化されます。
活用事例
既知の悪意あるドメインに対する追加の保護層として、DNSリゾルバポリシーでThreat Intelligenceを管理ドメインリストとして設定してください。
仮想ネットワークから既知の悪意のあるドメインを解決しようとする侵害されたホストを可視化します。
Threat Intel フィードが構成されている仮想ネットワークで悪意のあるドメインが解決されたときにアラートをログに記録して設定します。
仮想ネットワークや、Azure プライベート DNS ゾーン、プライベート リゾルバー、仮想ネットワーク内の他のサービスなど、他のサービスとシームレスに統合します。
ロケーション
リゾルバポリシーは同じ地域のVNetにのみ適用可能です。 以下の例では、東部アメリカと中部の2つの異なる地域それぞれに2つのポリシーを作成します。
重要
policy:VNet リレーションシップは 1:N です。 VNetをリゾルバポリシーに関連付ける場合( 仮想ネットワークリンクを通じて)、既存の仮想ネットワークリンクを除去しなければ、そのVNetを別のリゾルバポリシーに関連付けることはできません。 同じリージョン内の複数のVNetに単一のDNSリゾルバポリシーを関連付けることができます。
DNS トラフィック ルール
DNS トラフィック ルールは、DNS クエリに対して実行されるアクションを決定します。
AzureポータルでDNSトラフィックルールを表示するには、DNSリゾルバポリシーを選択し、設定の中からDNSトラフィックルールを選択してください。 次の例を参照してください。
- ルールは、100 から 65,000 の範囲の [優先度] の順に処理されます。 数値が小さいほど優先度が高くなります。
- あるドメイン名が優先度の低いルールではブロックされ、優先度の高いルールでは同じドメインが許可されている場合、ドメイン名は許可されます。
- ルールは DNS 階層に従います。 優先度の高いルールで contoso.com が許可されている場合、sub.contoso.com が優先度の低いルールでブロックされていても、sub.contoso.com は許可されます。
- "." ドメインに適用されるルールを作成すると、すべてのドメインでポリシーを構成できます。 ドメインをブロックするときは、必要な Azure サービスをブロックしないように注意してください。
- リストに対してルールの動的な追加および削除を実行できます。 ポータルでルールを編集したら、必ず [保存] をクリックしてください。
- ルールごとに複数の [DNS Domain Lists] (DNS ドメイン リスト) が許可されます。 少なくとも 1 つの DNS ドメイン リストが必要です。
- 各ルールは、[許可]、[ブロック]、または [アラート] の 3 つの [Traffic Actions] (トラフィック アクション) のいずれかに関連付けられます。
- 許可: 関連付けられているドメイン リストへのクエリを許可し、クエリをログします。
- ブロック: 関連付けられているドメイン リストへのクエリをブロックし、ブロック アクションをログします。
- アラート: 関連付けられているドメイン リストへのクエリを許可し、アラートをログします。
- ルールは、個別に [Enabled] (有効) または [無効] にできます。
仮想ネットワークのリンク
DNSリゾルバポリシーは、リゾルバポリシーにリンクしたVNetにのみ適用されます。 単一のリゾルバポリシーを複数のVNetにリンクできますが、1つのVNetにリンクできるのは1つのDNSリゾルバポリシーだけです。
以下の例は、2つのVNet(myeastvnet-40、 myeastvnet-50)に紐づいたDNSリゾルバポリシーを示しています:
- リゾルバポリシーと同じリージョン内のVNetだけをリンクできます。
- VNetを仮想ネットワークリンクを使ってDNSリゾルバポリシーにリンクすると、DNSリゾルバポリシーはVNet内のすべてのリソースに適用されます。
DNS ドメイン リスト
DNS ドメイン リストは、トラフィック ルールに関連付ける DNS ドメインのリストです。
DNSリゾルバポリシーの設定からDNSドメインリストを選択すると、ポリシーに関連付けられた現在のドメインリストが表示されます。
注
CNAME チェーンが調べられ ("追跡され")、ドメインに関連付けられているトラフィック ルールを適用する必要があるかどうかを判断します。 たとえば、malicious.contoso.com に適用されるルールは、adatum.com が malicious.contoso.com にマップされる場合、または malicious.contoso.com が adatum.com の CNAME チェーンのどこかに表示される場合は、adatum.com にも適用されます。
以下の例は、DNSリゾルバ ポリシーmyeast-secpolに関連付けられたDNSドメインリストを示しています。
ドメインリストを複数のDNSトラフィックルールに関連付けることは、異なるリゾルバポリシーで可能です。 各DNSトラフィックルールは少なくとも1つのドメインリストを参照しなければなりません。 ドメインリストを作成または関連付ける前にDNSリゾルバポリシーを作成し、トラフィックルールを作成する際に追加できます。 以下の例は、2つのドメイン(malicious.contoso.com、exploit.adatum.com を含むDNSドメインリスト(blocklist-1)を示しています。
- DNS ドメイン リストには、少なくとも 1 つのドメインが含まれている必要があります。 ワイルドカード ドメインを使用できます。
重要
ワイルドカード ドメイン リストを作成するときは注意深く行ってください。 たとえば、すべてのドメインに適用されるドメイン リストを作成 (DNS ドメインとして . を入力) し、このドメイン リストへのクエリをブロックするように DNS トラフィック ルールを構成すると、必要なサービスが機能しなくなる可能性があります。
AzureポータルでDNSドメインリストを見る際は、「設定>関連DNSトラフィックルール」を選択すると、すべてのトラフィックルールとDNSドメインリストを参照するDNSリゾルバポリシーのリストが表示されます。
要件および制限
| 制限の種類 | 制限/ルール |
|---|---|
| 仮想ネットワークの制限 | - DNSリゾルバポリシーは、DNSリゾルバポリシーと同じリージョン内のVNetにのみ適用可能です。 - VNetごとに1つのリゾルバポリシーをリンクできます。 |
| リゾルバーのポリシー制限 | 1000 |
| DNS トラフィック ルールの制限 | 100 |
| ドメイン リストの制限 | 2,000 |
| 大きなドメイン リストの制限 | 100,000 |
| ドメインの制限 | 100,000 |