Microsoftの「ゼロトラストDNS」はついにWindowsから広範なDNS脆弱性を取り除くことができる

大きな絵： ドメイン名の検索プロセスは、ネットワーク セキュリティにおける最も重大なホールの 1 つです。 人間にわかりやすい Web アドレスをコンピュータが理解できる IP 番号に変換するために重要であるにもかかわらず、DNS は「オープン」すぎます。 ブラウザからアプリ、オペレーティング システム コンポーネントに至るまで、すべてが DNS リクエストを平文でブロードキャストするため、スヌーピングやハイジャック攻撃に対して脆弱になります。

Microsoft はついにこの DNS 脆弱性に対して何らかの対策を講じました。 同社は最近、Windows DNSトラフィックを保護するための新しい「ゼロトラストDNS」（ZTDNS）フレームワークのプレビューをリリースした。 これまで見てきたことから、これはかなり包括的なセキュリティの見直しです。

ZTDNS の背後にある中心的な概念は、その名の通り、ドメイン解決リクエストが完全に検証されるまでは決して自動的に信頼しないというものです。 このモデルでは、ゼロ トラスト DNS 用に構成された Windows PC は、ドメイン名が明示的に承認され、DNS ルックアップが暗号化および認証されない限り、サーバーへの接続をきっぱりと拒否します。

」[Zero Trust DNS] TLS 終端を導入することなく、ハードコーディングされた IP アドレスや未承認の暗号化 DNS サーバーの使用が無意味になり、エンドツーエンド暗号化のセキュリティ上の利点が失われることになります。」と Microsoft は説明します。

ゼロ トラスト DNS は、ルックアップを処理する DNS クライアントと、ネットワーク ポリシーを適用する Windows フィルタリング プラットフォームという 2 つの既存の Windows テクノロジを利用します。 ZTDNS を有効にすると、承認された DNS サーバーとネットワーク検出に必要な最低限のものを除き、デフォルトですべてのアウトバウンド IPv4 および IPv6 トラフィックがブロックされます。 したがって、IP アドレスを含む DNS 応答はその宛先の例外のロックを解除し、対応するアプリまたはサービスの接続を許可します。 対照的に、未承認の IP にアクセスしようとすると、即座に妨害されます。

Microsoft は、ゼロ トラスト DNS の広範な導入が、未検証のドメイン名を使用した潜在的に悪意のあるトラフィックのブロックに役立つことを期待しています。 このフレームワークにより、企業や高リスク環境における DNS ベースの攻撃やデータ漏洩のカテゴリー全体を排除できる可能性があります。

もちろん、この機能はまだ初期プレビュー段階にあり、安定版リリースの明確なスケジュールはありません。 ただし、Microsoft は、より広範なテストのために、すぐに Windows Insider にこれをフライトすることを約束しました。

米国サイバー安全審査委員会が過去のセキュリティ慣行が「不十分」であると批判したことを受け、マイクロソフトは保護の見直しを進めている。 Exchange Online ハッキングのような重大な事件の後、取締役会の懸念が生じました。 このレビューを受けてCEOのSatya Nadella氏は行動を起こすことになった。 今週初め、同氏は従業員に対し、何よりもセキュリティを優先するよう指示する全社メモを送付した。

Microsoft が新たに焦点を当てていることは、ZTDNS フレームワークの公開を説明するものであり、この変更に対応する最初の変更の 1 つとなる可能性があります。