Microsoft annuncia il Zero Trust DNS per garantire connessioni più sicure

Mag 10, 2024 Marina Londei News, Tecnologia 0

---

Microsoft ha deciso di gestire le vulnerabilità DNS annunciando l’arrivo di Zero Trust DNS, un framework che mira a rendere più sicure le connessioni dei sistemi.

“Nel mondo moderno, è molto più probabile che le destinazioni di rete utili siano definite da nomi di dominio a lunga durata piuttosto che da indirizzi IP a lunga durata. Tuttavia, l’applicazione dei confini dei nomi di dominio (come il blocco del traffico associato a un nome di dominio proibito) è sempre stata problematica, poiché richiede la violazione della crittografia o l’affidamento a segnali di testo in chiaro inaffidabili, come l’ispezione DNS sulla porta 53 o l’ispezione SNI” spiega Tommy Jensen, PM tecnico in Microsoft.

Il DNS è uno dei punti più vulnerabili dei sistemi: per avere completa visibilità sul traffico, gli amministratori di rete devono rinunciare all’autenticazione cifrata delle comunicazioni e gestire il traffico in chiaro, senza autenticazione da parte del server o del client.

Il nuovo framework supporta l’approccio Zero Trust per proteggere i dispositivi da connessioni potenzialmente dannose, rifiutando qualsiasi comunicazione a meno che il nomi di dominio del server non sia esplicitamente approvato e il suo lookup DNS sia autenticato e cifrato.

Come funziona il Zero Trust DNS di Windows

Il framework integra il client DNS di Windows e la Windows Filtering Platform per attivare una protezione basata sui nomi di dominio, così che il sistema risolva solo quelli consentiti. Gli amministratori possono definire una configurazione specifica che può includere anche una lista di indirizzi IP, certificati di server Protective o certificati di autenticazione dei client.

Windows bloccherà tutto il traffico in uscita IPv4 e IPv6 tranne le connessioni ai server Protective DNS e il traffico DHCP, DHCPv6 e NDP. Quando uno dei server Protective DNS risponderà con una risoluzione dell’indirizzo IP, verranno attivate eccezioni per le connessioni in uscita per tale indirizzo IP; ciò garantirà che tutte le applicazioni e i servizi che usano la configurazione DNS di sistema potranno connettersi agli indirizzi IP risolti.

Al contrario, se un’applicazione o un servizio tenterà  di comunicare con un indirizzo non appreso tramite ZTDNS e non presente nelle eccezioni, il traffico verrà bloccato di default. Usando il ZTDNS gli amministratori potranno implementare approcci Zero trust più robusti, etichettando il traffico IPv4 e IPv6 in uscita senza doversi appoggiare al traffico DNS in chiaro. Gli admin possono inoltre bloccare il traffico il cui dominio associato non può essere identificato in sicurezza.

Jensen spiega che, per quanto la feature possa essere potente, non è in grado di proteggere i dispositivi da qualsiasi tipo connessione: qualsiasi tipo di virtualizzazione che implementa il proprio stack di rete, e che quindi è in grado di superare la Windows Filtering Platform, riuscirà a eludere i controlli del ZTDNS, così come le tecnologie che bypassano lo stack di rete di Windows come XDP o DPDK.

Zero Trust DNS è disponibile in preview privata e in futuro verrà integrato nelle nuove versioni di Windows.

---

• DNS, Microsoft, sicurezza connessioni, traffico di rete, Zero Trust DNS

---

---