DNS sinkhole स्पष्टीकरण: हे मलेशियस कॉलबॅक्स कसे थांबवते

एक अतिथी त्यांच्या लॅपटॉप तुमच्या कॅफेच्या WiFi शी कनेक्ट करतो, ब्राऊझर उघडतो आणि त्यांचे काम सुरू करतो. बॅकग्राउंडमध्ये, त्या लॅपटॉपवरील मालवेअर त्याच्या कंट्रोलरशी संपर्क साधण्याचा प्रयत्न करतो. तुम्ही प्रत्येक अभ्यागताच्या डिव्हाइसवर सुरक्षा सॉफ्टवेअर इन्स्टॉल करू शकत नाही, परंतु ते डिव्हाइस इंटरनेट डेस्टिनेशन्ससाठी पाठवलेल्या विनंत्यांना तुमचे नेटवर्क कसे उत्तर देते हे तुम्ही नियंत्रित करू शकता.

DNS sinkhole तुम्हाला तो कॉलबॅक थांबवण्याचा आणि तपासण्यायोग्य पुरावे नोंदवण्याचा मार्ग देते. महत्त्वाचा प्रश्न केवळ तो काय ब्लॉक करतो हा नाही. तर तुम्ही प्रभावित डिव्हाइस ओळखू शकता का, तुमची पॉलिसी लागू होते हे सिद्ध करू शकता का, आणि एखाद्या नियमामुळे चूक झाल्यास वैध ॲक्सेस पुनर्स्थापित करू शकता का, हा आहे.

अनुक्रमणिका

• सरळ शब्दांत सांगायचे तर DNS Sinkhole म्हणजे काय
  • DNS ब्लॉक करणे म्हणजे IP ब्लॉक करणे नव्हे
• एका खात्रीशीर धोकादायक लूकअपला Sinkhole कसे प्रतिसाद देते
  • तुम्हाला आवश्यक असलेल्या पुराव्यानुसार प्रतिसाद निवडा
• Conficker चा प्रादुर्भाव ज्यामुळे Sinkholes चे मानक पद्धत म्हणून रूपांतर झाले
  • हे लूकअप एक मापन बिंदू बनले
• Sinkhole मधील हिट्सचे रूपांतर संक्रमित डिव्हाइस लीड्समध्ये करणे
  • क्लायंट शोधण्यासाठी पुरेसा संदर्भ जतन करा
  • सिग्नलची पडताळणी करा आणि कव्हरेज कायम ठेवा
• सामायिक आणि गेस्ट नेटवर्कसाठीचे डिप्लॉयमेंट मॉडेल्स
  • एनक्रिप्शन आणि अंमलबजावणी या स्वतंत्र निवडी आहेत
  • नियंत्रण अशा सीमेवर ठेवा जेथे तुम्ही चाचणी करू शकता
• फॉल्स पॉझिटिव्ह आणि जलद रिकव्हरी करण्याचे मार्ग
  • सुरक्षा न हटवता ॲक्सेस पूर्ववत करा
• Sinkhole तुमच्या नेटवर्कसाठी योग्य आहे की नाही ते ठरवा
  • ऑपरेटिंग मॉडेल मालमत्तेशी जुळवा

सोप्या शब्दात DNS सिंकहोल म्हणजे काय

संक्रमित लॅपटॉपला सूचना मागण्यापूर्वी त्याचा कंट्रोलर शोधावा लागतो. मालवेअर डोमेन नाव वापरत असल्यास, तो लॅपटॉप प्रथम एका DNS रिझॉल्व्हरला त्या नावाचे IP ॲड्रेसमध्ये भाषांतर करण्यास सांगतो.

DNS चा फोन डिरेक्टरीसारखा विचार करा. डोमेन हे तुम्ही शोधत असलेले नाव आहे आणि IP ॲड्रेस हा तुम्हाला कॉल करण्यासाठी आवश्यक असलेला नंबर आहे. प्रोटेक्टिव्ह रिझॉल्व्हर तो नंबर द्यावा की नाही हे तपासतो.

DNS सिंकहोल हे ज्ञात-वाईट डोमेनचे उत्तर नियंत्रित डेस्टिनेशनसह बदलते किंवा ते उत्तर ब्लॉक करते, ज्यामुळे डिव्हाइस ते लुकअप वापरून आक्रमणकर्त्यापर्यंत पोहोचू शकत नाही.

काटेकोरपणे सांगायचे तर, सिंकहोलिंग म्हणजे ट्रॅफिकला नियंत्रित एंडपॉइंटकडे रीडायरेक्ट करणे. कोणतेही डेस्टिनेशन न देता क्षतिकारक लुकअप्स दाबणाऱ्या DNS पॉलिसींसाठी देखील प्रशासक अधिक व्यापकपणे हा शब्द वापरतात.

डिरेक्टरीची उपमा नेम लूकअपला त्यानंतर होणाऱ्या कनेक्शनपासून वेगळे करण्यास मदत करते.

DNS ब्लॉक करणे म्हणजे IP ब्लॉक करणे नव्हे

डिव्हाइस त्या डेस्टिनेशनशी संपर्क साधण्यासाठी उत्तराचा वापर करण्यापूर्वी DNS sinkhole हे विनंती केलेल्या नावावर प्रक्रिया करते. एक सामान्य फायरवॉल नियम पॅकेट्सचे मूल्यांकन करतो, ज्यासाठी सहसा त्यांच्या डेस्टिनेशन IP ॲड्रेसचा वापर केला जातो, आणि सुरुवातीचा कनेक्शन प्रयत्न नाकारू शकतो. फायरवॉलला प्रस्थापित कनेक्शनची वाट पाहण्याची गरज नसते.

जेव्हा अधिकृत आणि मलेशियस सर्व्हिसेस होस्टिंग पायाभूत सुविधा शेअर करतात, तेव्हा हा फरक महत्त्वाचा ठरतो. संपूर्ण IP ॲड्रेस ब्लॉक केल्याने असंबधित सर्व्हिसेसवर परिणाम होऊ शकतो, तर DNS पॉलिसी विशिष्ट होस्टनेमला लक्ष्य करू शकते. कोणताही दृष्टिकोन दुसऱ्याची जागा घेऊ शकत नाही.

शेअर केलेल्या WiFi वर रिझोल्व्हर उपयुक्त ठरतो कारण ऑपरेटरला लॅपटॉपवर ॲडमिनिस्ट्रेटिव्ह ॲक्सेसची आवश्यकता नसते. मात्र, कॉलबॅक थांबवल्याने संसर्ग दूर होत नाही. यामुळे ऑपरेटरला संसर्ग रोखण्याची संधी मिळते आणि योग्य लॉगिंगसह तपासासाठी एक मार्ग मिळतो.

सिंकहोल एखाद्या मालवेअर लूकअपला कसा प्रतिसाद देतो

DNS लुकअप ही माहितीसाठी केलेली विनंती असते, विनंती केलेल्या वेबसाइटशी जोडलेले कनेक्शन नसते. रिझॉल्व्हरचे उत्तर ठरवते की डिव्हाइस पुढे काय करण्याचा प्रयत्न करू शकते.

मूलभूत पाथ डिव्हाइस, पॉलिसी चेक आणि नियंत्रित डेस्टिनेशन यांना वेगळे करतो.

1. डिव्हाइस त्याच्या कॉलबॅक डोमेनची विनंती करते. ते त्याच्या कॉन्फिगर केलेल्या रिझॉल्व्हरला एक क्वेरी पाठवते.
2. मूळ नेटवर्कवर कोणती पॉलिसी लागू होते हे रिझॉल्व्हर ओळखतो, जसे की गेस्ट SSID किंवा स्टाफ VLAN.
3. थ्रेट इंटेलिजन्स आणि स्थानिक नियमांविरुद्ध नावांची तपासणी केली जाते, ज्यामध्ये कमांड-अँड-कंट्रोल, फिशिंग आणि मालवेअर श्रेणींचा समावेश आहे.
4. ब्लॉकिंग मॅचवर, रिझॉल्व्हर एक नियंत्रित पत्ता पुरवतो, नो-सच-नेम प्रतिसाद परत करतो किंवा उत्तर देण्यास नकार देतो किंवा ते दडपून ठेवतो.
5. डिव्हाइस एकतर बनावट (decoy) नेटवर्कशी कनेक्शनचा प्रयत्न करते किंवा वापरण्यायोग्य गंतव्यस्थान मिळवण्यात अयशस्वी ठरते. अनुमती दिलेली नावे सामान्यपणे रिझॉल्व्ह होतात.

डिव्हाइस एखादी साईट किंवा ॲप उघडण्यापूर्वी, ते कुठे शोधायचे हे DNS ला विचारते आणि Shield त्या नेटवर्कसाठी असलेल्या पॉलिसीचा वापर करून उत्तर देते. जर एखादे डोमेन ब्लॉक केले असेल, तर त्या गंतव्यस्थानाशी कनेक्शन कधीही सुरू होत नाही आणि डिव्हाइसला त्याऐवजी ग्राहकाचे ब्रँड केलेले ब्लॉक पेज दिसते. वापरकर्त्याच्या त्या अनुभवाची तुलना मालवेअरने अयशस्वी कॉलबॅकचा पुन्हा प्रयत्न करण्याशी करू नये.

तुम्हाला आवश्यक असलेल्या पुराव्यासाठी योग्य प्रतिसाद निवडा

सिंकहोल प्रतिसाद पर्याय आणि प्रत्येक पर्यायातून काय उघड होते

प्रतिसाद (Response)	डिव्हाइसला काय अनुभव येतो	संरक्षकांना (defenders) काय माहिती मिळते	मुख्य तडजोड (Trade-off)
असे-कोणतेही-नाव-नाही (NXDOMAIN)	शोध अयशस्वी होतो आणि कनेक्शन कधीही सुरू होत नाही	शोधण्याचा प्रयत्न केला गेला होता आणि तो ब्लॉक केला गेला	कॉलबॅक थांबवते परंतु त्यानंतरचे कनेक्शन वर्तन प्रदान करत नाही
सिंकहोल पत्ता	शोध नियंत्रित सर्व्हरचा पत्ता परत करतो	स्रोत IP, कॉलबॅक वेळ, पुन्हा प्रयत्न करण्याची पद्धत आणि निरीक्षण करण्यायोग्य प्रोटोकॉल	निरीक्षण केले जाणारे एंडपॉइंट आणि काळजीपूर्वक लॉग स्टोरेज आवश्यक आहे
नकार दिलेला किंवा दडपलेला (suppressed) उत्तर	रिझॉल्व्हर क्वेरी नाकारतो किंवा त्याला उत्तर न देता सोडतो	रिझॉल्व्हर लॉगिंग सक्षम केल्याशिवाय, स्वतःच्या प्रयत्नांव्यतिरिक्त फारच कमी माहिती मिळते	लागू करण्यास जलद, परंतु काही क्लायंट्स पुन्हा आक्रमकपणे प्रयत्न करतात

NXDOMAIN स्त्रोत किंवा टाइमस्टँप माहिती हटवत नाही. रिझॉल्व्हर दोन्ही लॉग करू शकतो. तो त्या अयशस्वी लूकअपमधून गोळा करू शकत नाही ती म्हणजे मालवेअरने त्यानंतर तयार केले असते ते कनेक्शन.

एका पीअर-रिव्ह्यूड सिंकहोल पॅकेट-कॅप्चर मूल्यांकनाने पारंपारिक अंमलबजावणीच्या तुलनेत प्रगत संकलन डिझाइनसह मालिशिअस-पॅकेट कॅप्चरमध्ये पाच पट सुधारणा नोंदवली आहे. हा संकलन आर्किटेक्चरबद्दलचा पुरावा आहे, प्रत्येक सिंकहोल अशीच सुधारणा प्रदान करेल असे वचन नाही.

हा व्हिडिओ ही कार्यप्रणाली समजून घेण्याचा आणखी एक मार्ग प्रदान करतो.

तुम्ही निवडलेला प्रतिसाद ठरवतो की तुम्ही त्यानंतरच्या कोणत्या वर्तनाचे निरीक्षण करू शकता. कलेक्टर्स वेगळे ठेवा आणि रीडायरेक्शनमुळे प्रत्येक एनक्रिप्टेड ॲप्लिकेशनसाठी स्पष्ट इशारा पेज तयार होईल असा गृहीत धरू नका.

कॉन्फिकरचा तो प्रादुर्भाव ज्याने सिंकहोलला मानक बनवले

कॉन्फिकरने दाखवून दिले की बचावकर्ते मालवेअरच्या सूचनांच्या शोधाचे इंटेलिजन्सच्या स्रोतात रूपांतर कसे करू शकतात. प्रत्येक संक्रमित संगणकाची तपासणी करण्याऐवजी, संशोधकांनी त्या वर्मने संपर्क साधण्यासाठी प्रोग्राम केलेली ठिकाणे रोखली.

CAIDA चे Conficker आर्काइव्ह नोव्हेंबर २००८ मध्ये पहिल्यांदा आढळलेल्या उद्रेकाचे वर्णन करते, ज्यामध्ये सुरुवातीच्या व्हेरियंट्सद्वारे दररोज अंदाजे २५० सुडोरँडम डोमेन नावे जनरेट केली जात होती. सूचना किंवा अतिरिक्त मालवेअर मिळवण्यासाठी या वर्मने जनरेट केलेल्या नावांवर HTTP द्वारे संपर्क साधला.

गुन्हेगार वापरण्यापूर्वी संशोधक आणि नेटवर्क ऑपरेटर्सनी निवडलेले डोमेन नोंदवले, नंतर ते नाव नियंत्रित सर्व्हरकडे निर्देशित केले. परिणामी, संक्रमित संगणकांनी बचावकर्त्यांद्वारे संचलित इन्फ्रास्ट्रक्चरशी संपर्क साधला.

लूकअप हा एक मोजमाप बिंदू बनला आहे

त्या कॉलबॅक्समुळे रिस्पॉन्डरना गुन्हेगारी कमांड नेटवर्कशी थेट संवाद न साधता, संक्रमित सिस्टम्स ओळखणे, वॉर्मच्या प्रसाराचा अंदाज लावणे आणि साफसफाईच्या प्रगतीचा मागोवा घेणे शक्य झाले. त्यामुळे यशस्वी इंटरसेप्शनने केवळ अपडेट नाकारण्यापेक्षा अधिक कार्य केले. त्याने अपडेट मिळवण्याचा प्रयत्न करत असलेल्या कॉम्प्युटरची नोंद ठेवली.

• कंटेनमेंटसाठी, प्रतिसादात्मक पथकाने (responders) निवडलेली नावे आक्रमकांच्या नियंत्रणाखालील इन्फ्रास्ट्रक्चरकडे जाण्यापासून रोखली.
• तपासासाठी, कॉलबॅक लॉग्सने लक्ष केंद्रित करण्याची आवश्यकता असलेल्या प्रणाली ओळखल्या.
• रिमेडिएशन ट्रॅकिंगसाठी, सतत येणारे कॉलबॅक्स हे दर्शवत होते की क्लिनअप अजूनही अपूर्ण आहे.

कॉन्फिकरच्या नंतरच्या प्रकारांनी तयार केलेल्या नावांचा पूल वाढवला आणि पीअर-टू-पीअर अपडेटिंग जोडले. रिस्पॉन्डर्सना लहान, स्थिर सूचीवर अवलंबून राहण्याऐवजी नोंदणी आणि ब्लॉकिंगचे समन्वय साधावे लागले.

ऐतिहासिक डिप्लॉयमेंट देखील संस्थेच्या स्थानिक फिल्टरिंग पॉलिसीपेक्षा वेगळे होते. संशोधकांनी त्यांच्या नियंत्रणातील डोमेन्सचे डेस्टिनेशन्स बदलले, ज्यामुळे सामान्य DNS द्वारे त्या नावांचे रिझोल्यूशन करणाऱ्या संक्रमित कॉम्प्युटर्सवर परिणाम झाला. व्हेन्यू ऑपरेटर सामान्यतः त्याऐवजी स्वतःच्या रिकर्सिव्ह रिझोल्व्हरवर पॉलिसी लागू करतो.

दोन्ही प्रकरणांमध्ये कव्हरेज हीच मर्यादा होती. डिफेंडर्स त्यांच्या नियंत्रणाखालील नावांवरील कॉलबॅक्स इंटरसेप्ट करू शकत होते, परंतु याचा अर्थ असा नाही की प्रत्येक संभाव्य अपडेट मार्ग नाहीसा झाला होता. Conficker ने सिंकहोलिंग ही एक कंटेनमेंट तंत्रज्ञान आणि मोजमापाचे साधन म्हणून स्थापित केले, संक्रमित संगणकांची दुरुस्ती करण्याऐवजी पर्याय म्हणून नाही.

सिंकहोल हिट्सचे इन्फेक्टेड डिव्हाइस लीड्समध्ये रूपांतर करणे

ब्लॉक केलेल्या कमांड-ॲण्ड-कंट्रोल (C2) डोमेनची वारंवार चौकशी करणाऱ्या क्लायंटकडे लक्ष देणे आवश्यक आहे. तुमच्याकडे एंडपॉइंट एजंट, पेलोड तपासणी किंवा तपशीलवार फायरवॉल रेकॉर्ड नसतानाही हा पॅटर्न एक उपयुक्त संकेत देऊ शकतो.

अवलंबित्व महत्त्वाचे आहे: युनिव्हर्सिटी ऑफ ॲरिझोना बॉटनेट-डिफेन्स संशोधन अहवाल स्पष्ट करतो की प्रभावी DNS रीडायरेक्शनसाठी बॉटनेटची C2 पायाभूत रचना ओळखणे आणि बॉट वापरत असलेल्या DNS ऑपरेटरचे सहकार्य आवश्यक आहे. हिट मिळणे हे दर्शवते की एका विशिष्ट विनंतीचा तुमच्या पॉलिसीशी सामना झाला आहे, याचा अर्थ असा नाही की तुम्ही सर्व संप्रेषण मार्ग शोधून काढले आहेत.

क्लायंट शोधण्यासाठी पुरेसा संदर्भ ठेवा

हे फील्ड्स डिस्कनेक्ट केलेल्या डॅशबोर्ड्सवर पसरवण्याऐवजी एकत्र रेकॉर्ड करा:

• टाइमस्टँप: इव्हेंटचा नेटवर्क लीज आणि ऑथेंटिकेशन रेकॉर्डशी परस्परसंबंध जोडा.
• SSID किंवा VLAN: समाविष्ट असलेल्या नेटवर्क आणि पॉलिसीच्या सीमारेषा ओळखा.
• क्लायंट आयडेंटिफायर: केवळ व्हेन्यूचा सार्वजनिक पत्ता नाही, तर वापरण्यायोग्य डिव्हाइस संदर्भ जतन करा.
• क्वेरी केलेले डोमेन: नियम ट्रिगर करणारे तंतोतंत होस्टनेम जतन करा.
• पॉलिसी श्रेणी: थ्रेट वर्गीकरण आणि कन्टेंट प्रतिबंध यातील फरक ओळखा.
• प्रतिसाद कृती: रिझॉल्व्हरने रीडायरेक्ट केले, नकार दिला किंवा NXDOMAIN परत केले का ते रेकॉर्ड करा.

पब्लिक सोअर्स IP एकाच गेटवेमागील अनेक गेस्ट्सचे प्रतिनिधित्व करू शकतो. वैयक्तिक डिव्हाइस ओळखण्यासाठी, रिझॉल्व्हर आणि नेटवर्क रेकॉर्डसह एंडपॉइंट ऑब्झर्व्हेशन्सशी परस्परसंबंध जोडा. संकलकाला त्याचा शेअर केलेला ॲड्रेस दिसला म्हणून संपूर्ण व्हेन्यू इन्फेक्टेड असल्याचे लेबल लावू नका.

तपासणीचा नियम: सिंकहोल हिटचा विचार सहाय्यक संदर्भासह लीड म्हणून करा, डिव्हाइस मालकाच्या विरोधात थेट निष्कर्ष म्हणून नाही.

सिग्नल सत्यापित करा आणि कव्हरेज कायम ठेवा

त्या नेटवर्कवरील सामान्य वर्तनासह वारंवार झालेल्या हिट्सची तुलना करा आणि रिफ्रेश केलेल्या थ्रेट इंटेलिजन्स फीड्स विरुद्ध वर्गीकरण तपासा. जनरेट केलेले डोमेन्स, वेगाने बदलणारे होस्टिंग, हार्ड-कोडेड पत्ते आणि फॉलबॅक चॅनेल्स गॅप्स सोडू शकतात. हिट्स नसणे हा डिव्हाइस सुरक्षित असल्याचा पुरावा नाही.

डोमेन स्थितीचे देखील सतत पुनरावलोकन करणे आवश्यक आहे. मॅलिशिअस-डोमेन टेकडाऊन्सच्या २०१९ च्या शैक्षणिक अभ्यासात असे आढळून आले की मागील दहा महिन्यांत टेक डाऊन केलेले १४% पेक्षा जास्त डोमेन्स त्यानंतर व्यावसायिक डोमेन मार्केटमध्ये परत आले होते.

नियमित वेळापत्रकानुसार नियम उगम, मालकी आणि वर्गीकरणाचे पुनरावलोकन करा. जर तुम्ही स्वतः नोंदणीकृत sinkhole डोमेन्स चालवत असाल, तर त्यांच्या DNS कॉन्फिगरेशन आणि नूतनीकरणाचे संरक्षण करा. क्लायंट-स्तरीय लॉगचा ॲक्सेस मर्यादित करा आणि स्थानिक कायदे व तुमच्या तपासाच्या गरजांना सुसंगत असे रिटेंशन कालावधी सेट करा.

शेअर केलेल्या आणि अतिथी नेटवर्कसाठी डिप्लॉयमेंट मॉडेल्स

सिंकहोल तुम्ही नियंत्रित करत असलेल्या DNS पाथचे संरक्षण करतो. अतिथीचा ब्राउझर किंवा अॅप्लिकेशन त्याऐवजी बाहेरचे एन्क्रिप्टेड रिसॉल्व्हर निवडू शकतो, ज्यामुळे तुमच्या स्थानिक पॉलिसीकडे मूल्यांकन करण्यासाठी काहीही उरत नाही.

एनक्रिप्टेड DNS चे तांत्रिक विश्लेषण स्पष्ट करते की बाह्य DNS-over-HTTPS पारंपारिक DNS मॉनिटरिंगला बायपास का करू शकते. म्हणूनच डिप्लॉयमेंटचा निर्णय हा केवळ ब्लॉकलिस्टच्या गुणवत्तेबद्दल नाही, तर रिझॉल्व्हर अंमलबजावणी आणि क्लायंटच्या वर्तनाबद्दल आहे.

शेअर केलेल्या नेटवर्कसाठी सिंकहोल डिप्लॉयमेंट मॉडेल्स

मॉडेल	नियंत्रण कुठे आहे	सर्वोत्तम तंदुरुस्त	मुख्य मर्यादा
गेस्टवरील नेटवर्क रिझॉल्व्हर WiFi	नेटवर्कद्वारे प्रत्येक क्लायंटला दिलेला रिझॉल्व्हर	हॉटेल्स, पब्ज, सार्वजनिक ठिकाणे WiFi	स्वतःचे हार्ड-कोड केलेले किंवा एनक्रिप्टेड रिझॉल्व्हर असलेले क्लायंट ते बायपास करू शकतात
फायरवॉल DNS तपासणी	अस्तित्वात असलेल्या फायरवॉल किंवा गेटवेच्या आत	स्थापित फायरवॉल मालमत्ता असलेली कार्यालये	पारंपारिक DNS तपासणी HTTPS द्वारे वाहून नेल्या जाणाऱ्या बाहेरील DoH ला चुकवते
मॅनेज केलेली ब्राउझर किंवा डिव्हाइस पॉलिसी	ब्राउझर किंवा OS रिझॉल्व्हर सेट करते आणि पर्यायी DoH अक्षम करते	मॅनेज केलेली कॉर्पोरेट किंवा शालेय डिव्हाइसेस	अनमॅनेज केलेल्या वैयक्तिक उपकरणांपर्यंत पोहोचत नाही
क्लाउड प्रोटेक्टिव्ह DNS	प्रदाता-होस्ट केलेला रिझॉल्व्हर ज्याच्याकडे नेटवर्क DNS निर्देश करते	मल्टी-साइट ठिकाणे आणि मालमत्ता	प्रदात्याच्या अपटाइम आणि टेलिमेट्रीच्या ॲक्सेसवर अवलंबून असते

एन्क्रिप्शन आणि अंमलबजावणी या स्वतंत्र निवडी आहेत

एनक्रिप्टेड DNS मुळे क्लायंट आणि रिझॉल्व्हरमधील गोपनीयता सुधारते. यामुळे फिल्टरिंग कमकुवत होतेच असे नाही: एक मंजूर केलेले संरक्षणात्मक रिझॉल्व्हर एनक्रिप्टेड क्वेरी स्वीकारू शकते आणि तरीही पॉलिसी लागू करू शकते. दृश्यमानतेची समस्या (visibility problem) तेव्हा उद्भवते जेव्हा क्लायंट असा बाह्य रिझॉल्व्हर निवडतो जो तुमच्या नियमांची अंमलबजावणी करत नाही.

मॅनेज केलेल्या डिव्हाइसेससाठी, ब्राउझर आणि ऑपरेटिंग-सिस्टम पॉलिसी मंजूर सेवा निर्दिष्ट करू शकतात. गेस्ट नेटवर्कवर, तुम्हाला पर्यायी एन्क्रिप्टेड DNS, युझर प्रायव्हसी आणि परवानगी दिलेल्या अपवादांवर एका दस्तऐवजीकृत भूमिकेची आवश्यकता असते. DoH थांबवण्यासाठी सर्व एन्क्रिप्टेड वेब ट्रॅफिक ब्लॉक करणे ही एक व्यवहार्य सामान्य रणनीती नाही.

नियंत्रण अशा सीमेवर ठेवा जिथे तुम्ही त्याची चाचणी करू शकता

नेटवर्क कॉन्फिगरेशनद्वारे मंजूर रिझोल्व्हर वितरित करा. ट्रान्सपोर्ट प्रोटोकॉल आणि IP फॅमिली या दोन्ही घटकांना कव्हर करून, मंजूर रिझोल्व्हर्सपर्यंतच थेट आउटबाउंड पारंपारिक DNS मर्यादित करा. पारदर्शक रीडायरेक्शन इतरत्र पाठवलेला पारंपारिक DNS पकडू शकते, परंतु ते कोणत्याही एन्क्रिप्टेड DNS चे पारदर्शकपणे निवारण करत नाही.

स्टाफ, गेस्ट आणि स्पेशलिस्ट-डिव्हाइस पॉलिसी वेगळ्या करण्यासाठी नेटवर्क सेगमेंटेशन वापरा. एका कडक गेस्ट नियमामुळे क्लिनिकल उपकरणे किंवा कर्मचाऱ्यांच्या ॲप्लिकेशन्समध्ये व्यत्यय येऊ नये.

• सामान्य रिझोल्यूशनची चाचणी घ्या: परवानगी दिलेले ॲप्लिकेशन्स अजूनही कार्य करत असल्याची पुष्टी करा.
• बायपास पाथची चाचणी घ्या: ब्राउझरने-निवडलेले रिझोल्व्हर्स आणि इतर मंजूर टनेल्स तपासा.
• ॲट्रिब्यूशनची चाचणी घ्या: एक नियंत्रित पॉलिसी मॅच योग्य नेटवर्क आणि क्लायंटविरुद्ध दिसत असल्याची पुष्टी करा.

नेटवर्क-लेव्हल DNS बदल प्रत्येक उपकरणावर सॉफ्टवेअर इन्स्टॉल न करता सर्व सहभागी उपकरणांवर फिल्टरिंग लागू करू शकतो. रिझॉल्व्हर ॲड्रेस वितरित केल्याने प्रत्येक ॲप्लिकेशन ते वापरण्यास भाग पाडते असे गृहीत धरण्याऐवजी, चाचण्यांसह कव्हरेज सिद्ध करा.

फॉल्स पॉझिटिव्ह आणि ते वेगाने पूर्ववत कसे करावे

दीर्घ ब्लॉकलिस्ट ही आपोआप अधिक सुरक्षित असतेच असे नाही. शेअर केलेल्या क्लाउड इन्फ्रास्ट्रक्चरविरुद्धच्या व्यापक नियमामुळे, इच्छित धोक्यापासून संरक्षण न सुधारताही पुरवठादार पोर्टल, पेमेंट वर्कफ्लो किंवा लर्निंग ॲप्लिकेशन्समध्ये व्यत्यय येऊ शकतो.

2025 मधील एका सिंकहोलिंग अंमलबजावणी अभ्यासात असे फॉल्स पॉझिटिव्ह नोंदवले गेले आहेत ज्यासाठी मॅन्युअल अलावलिस्ट व्यवस्थापन आणि प्रशिक्षित कर्मचार्‍यांची गरज होती. ऑपरेशन्सची जबाबदारी केवळ इन्सिडेंट क्युमध्ये न ठेवता, ती डिप्लॉयमेंट प्लॅनचा भाग असायला हवी.

रिकव्हरी प्रक्रियेने शेअर केलेल्या सेवांचा आणि मोजक्या अपवादांचा विचार केला पाहिजे.

सुरक्षा न हटवता अॅक्सेस पूर्ववत करा

मान्य केलेल्या निरीक्षण कालावधीसाठी फक्त-लॉग मोडमध्ये नवीन पॉलिसी सुरू करा. क्लायंट, श्रेणी आणि मॅचिंग नियम कॅप्चर करा जेणेकरून नंतरच्या निर्णयांसाठी पुराव्याचा माग उपलब्ध राहील.

सिंकहोलची लक्षणे, संभाव्य कारणे आणि पहिली कृती

लक्षण	संभाव्य कारण	पहिली कारवाई
कर्मचाऱ्याचे डिव्हाइस पुरवठादार साइटपर्यंत पोहोचू शकत नाही	सामायिक क्लाउड डोमेन श्रेणीनुसार ब्लॉक केले आहे	लॉग केलेली श्रेणी तपासा, नंतर संपूर्ण डोमेन ऐवजी अचूक होस्टला अनुमती सूचीमध्ये (allowlist) टाका
एक गेस्ट डिव्हाइस दर मिनिटाला सिंकहोल हिट्स ट्रिगर करते	संक्रमित डिव्हाइस किंवा ॲग्रेसिव्ह ॲप पुन्हा प्रयत्न करत आहे	क्लायंटची ओळख पटवून त्याला नियंत्रित (contain) करा, नंतर डिव्हाइस तपासणीची व्यवस्था करा
पॉलिसी बदलांनंतर ब्लॉक केलेल्या क्वेरींमध्ये अचानक वाढ झाली आहे	व्यापक ब्लॉकलिस्ट नोंद किंवा वाइल्डकार्ड नियम	शेवटचा बदल पूर्ववत (roll back) करा आणि त्याच्या SSID किंवा VLAN व्याप्तीचे (scope) पुनरावलोकन करा
ॲप्स काम करतात परंतु एक SSID कोणतेही ब्लॉक्स दाखवत नाही	क्लायंट्स रिझॉल्व्हरच्या बाहेर एनक्रिप्टेड DNS वापरू शकतात	नियंत्रित पॉलिसी चाचणी चालवा आणि रिझॉल्व्हर कॉन्फिगरेशन आणि आउटबाउंड DNS पाथची तपासणी करा

केवळ रिक्त अहवाल बायपास स्थापित करत नाही. नेटवर्कने कदाचित जुळणाऱ्या कोणत्याही विनंत्या तयार केलेल्या नसतील.

प्रतिबंधित केलेल्या हानीकारक कनेक्शन्सचे प्रमाण, फॉल्स-पॉझिटिव्ह दर, अपील-निराकरण वेळ आणि प्रति ठिकाण अपवाद यांचे मोजमाप करा. एखादे ॲप्लिकेशन वारंवार प्रयत्न करत असल्यामुळे ब्लॉक केलेल्या-क्वेरीचे प्रमाण वाढू शकते.

एखादा नियम सक्षम (enable) करण्यापूर्वी, याची पुष्टी करा:

• वर्गीकरण: डोमेनच्या थ्रेट वर्गवारीला सपोर्ट आहे.
• सामायिक वापर: व्यवसाय ॲप्लिकेशन्स एकाच होस्ट किंवा पालक डोमेनवर अवलंबून नसतात.
• रोलबॅक: पूर्वीची पॉलिसी आणि रीस्टोरेशन प्रक्रिया रेकॉर्ड केली आहे.
• व्याप्ती: इच्छित SSID किंवा VLAN स्पष्ट आहे.
• मालकी: एक नियुक्त व्यक्ती अपवाद विनंत्या हाताळते आणि त्यांच्या मुदत समाप्तीचे पुनरावलोकन करते.

सिंकहोल तुमच्या नेटवर्कसाठी योग्य आहे की नाही ते ठरवा

मॅनेज केलेल्या एंडपॉइंट्स असलेल्या लहान ऑफिससाठी, DNS लॉगिंग आणि एंडपॉइंट पॉलिसीपासून सुरुवात करा. संशयास्पद विनंत्यांची थेट चौकशी करण्यासाठी आवश्यक असलेली डिव्हाइस नियंत्रणे तुमच्याकडे आधीपासूनच असू शकतात, त्यामुळे तुम्ही राखू शकणार नाही असा कलेक्टर जोडणे टाळा.

गेस्ट, सार्वजनिक किंवा विद्यार्थ्यांच्या नेटवर्कसाठी बाउंड्री एन्फोर्समेंट आणि क्लायंट ॲट्रिब्यूशनला प्राधान्य द्या. अनमॅनेज्ड उपकरणांमुळे रिव्हॉल्व्हर-लेव्हल कंट्रोल्स उपयुक्त ठरतात, परंतु ऑपरेटरला डिव्हाइसच्या मालकावर वेळेआधीच आरोप न करता, त्या डिव्हाइसची सुरक्षितपणे तपासणी किंवा कंटेन करण्याचा मार्ग आवश्यक असतो.

ऑपरेटिंग मॉडेलला मालमत्तेशी जुळवून घ्या

मल्टी-साइट संस्थेला मध्यवर्ती व्यवस्थापित रिझॉल्व्हर पॉलिसी, नेटवर्क-विशिष्ट अपवाद आणि एकत्रित रिपोर्टिंगचा फायदा होतो. केवळ त्यांच्या श्रेणींच्या संख्येवर अवलंबून न राहता, त्यांनी सादर केलेले पुरावे आणि तुम्ही तपासू शकणाऱ्या नियंत्रणांच्या आधारे सेवांची तुलना करा.

जेव्हा तुम्ही संपूर्ण प्रक्रियेची जबाबदारी घेऊ शकता तेव्हाच sinkhole निवडा: पॉलिसी, कव्हरेज, तपास, अपवाद आणि रिकव्हरी.

मर्यादित अंमलबजावणीपासून सुरुवात करा:

1. रिझॉल्व्हर पाथचा मॅप तयार करा. प्रत्येक नेटवर्क कोणता रिझॉल्व्हर वापरते आणि वैकल्पिक DNS किंवा टनेल पॉलिसीमधून कुठे निसटू शकतात ते ओळखा.
2. दस्तऐवजीकरण केलेला लॉग-ओन्ली निरीक्षण कालावधी चालवा. त्यांच्या क्लायंट, श्रेणी आणि नेटवर्कसह मॅच होणाऱ्या विनंत्यांची नोंद करा, नंतर वैध ॲप्लिकेशन अवलंबित्वांचे पुनरावलोकन करा.
3. प्रथम उच्च-विश्वासार्ह ब्लॉक्स सक्षम करा. पुष्टी केलेल्या C2 आणि मालवेअर गंतव्यस्थानांसह प्रारंभ करा, लेखी रोलबॅक योजना ठेवा आणि अपवाद मालक (exception owner) नियुक्त करा.

एंडपॉइंट रेमेडिएशन आणि नेटवर्क कंटेन्मेंट या दोन्ही गोष्टी वेगळ्या ठेवा. ब्लॉक झालेला कॉलअॅक हा एक यशस्वी हस्तक्षेप असतो, तरीही त्या डिव्हाइसची तपासणी करणे आवश्यक असते. तुमचे कर्मचारी जेव्हा नियंत्रित ब्लॉक आणि अधिकृत ॲक्सेसची सुरक्षित पुनर्स्थापना या दोन्ही गोष्टी यशस्वीपणे करून दाखवू शकतात, तेव्हाच तुमचे डिप्लॉयमेंट तयार आहे असे समजावे.

---

Purple Shield नेटवर्क-विशिष्ट पॉलिसी आणि रिपोर्टिंगसह संरक्षणात्मक DNS प्रदान करते, ज्यामुळे तुम्ही व्यवस्थापनासाठी आवश्यक असलेल्या पुराव्यांसह मालिशिअस-डोमेन ब्लॉकिंगचे मूल्यमापन करू शकता. 30-दिवसांच्या मोफत चाचणीची व्यवस्था करण्यासाठी Purple Shield ला भेट द्या, तुमच्या नेटवर्कचे DNS Shield वर पॉइंट करा आणि नवीन हार्डवेअर किंवा डिव्हाइस एजंट्सशिवाय तुमच्या लाईव्ह नेटवर्कवर फिल्टरिंग तपासा.