DNS Security: DNSSEC, DoH, DoT, DNS Sinkhole, RPZ และ DNS Threat Protection
DNS Security ปกป้อง Domain Name System ซึ่งเป็น infrastructure สำคัญที่สุดของ Internet DNSSEC ป้องกัน DNS spoofing ด้วย digital signatures, DoH (DNS over HTTPS) encrypt DNS queries ผ่าน HTTPS, DoT (DNS over TLS) encrypt DNS queries ผ่าน TLS, DNS Sinkhole redirect malicious domains ไปยัง safe IP, RPZ (Response Policy Zones) ให้ policy-based DNS filtering และ DNS Threat Protection รวมทุกอย่างเป็น comprehensive DNS defense
DNS เป็น attack vector ที่ถูกใช้มากที่สุด: 91% ของ malware ใช้ DNS สำหรับ C2 communication, phishing ใช้ DNS เพื่อ resolve malicious domains, data exfiltration ซ่อนข้อมูลใน DNS queries, DNS cache poisoning redirect users ไปยัง fake sites แต่หลายองค์กรยัง monitor DNS น้อยมาก ทำให้ DNS เป็น blind spot ด้าน security
DNS Threats
Threat
How
Impact
DNS Spoofing/Cache Poisoning
Inject fake DNS records → redirect users ไป malicious site
Phishing, credential theft, malware download
DNS Tunneling
Encode data ใน DNS queries/responses → exfiltrate data ผ่าน DNS
Data theft ที่ bypass firewall (DNS usually allowed)
DGA (Domain Generation Algorithm)
Malware generate random domains สำหรับ C2 → hard to block
Botnet communication, ransomware C2
DNS Hijacking
Compromise DNS server/registrar → change DNS records
Redirect entire domain traffic to attacker
DNS Amplification DDoS
Spoof source IP + query open resolvers → amplified response floods victim
Log + analyze DNS queries (detect tunneling, DGA, anomalies)
Restrict Resolvers
Block external DNS (port 53/853) → force all queries ผ่าน corporate DNS
Block DoH Bypass
Block known DoH providers + force internal DNS → maintain visibility
ทิ้งท้าย: DNS Security = Protect the Phone Book of the Internet
DNS Security Threats: spoofing, tunneling, DGA, hijacking, amplification DDoS, typosquatting DNSSEC: digital signatures → authenticate DNS responses (prevent spoofing, chain of trust) DoH: encrypted DNS over HTTPS port 443 (privacy but bypasses corporate filtering) DoT: encrypted DNS over TLS port 853 (privacy, easier to manage than DoH) Sinkhole: return fake IP for malicious domains → block + identify infected devices RPZ: DNS firewall with policy zones (NXDOMAIN, redirect, passthru) per threat feeds Best Practice: DNSSEC + DoT/DoH + sinkhole + RPZ feeds + monitor queries + restrict external DNS
