DNS Firewall

Vanuit SURFdomeinen bieden we DNS resolvers aan die gebruikt kunnen worden door iedereen die op het SURF-netwerk is aangesloten. Een DNS resolver wordt gebruikt om, bijvoorbeeld, op het moment dat je met je browser een website wilt bezoeken het IP adres op te vragen dat bij de domeinnaam van de website hoort. Ook malware maakt gebruik van DNS om domeinnamen op te vragen. Hierdoor kan een DNS resolver dus een interessante plek zijn om malware besmettingen of phising te detecteren, maar ook om de communicatie hiervan met de buitenwereld te blokkeren. Dit laatste kan bereikt worden door gebruik te maken van DNS Firewall. DNS Firewall bestaat uit een aantal resolvers die opvragingen voor bekende kwaadaardige domeinnamen blokkeren. Deze resolver draaien naast de bestaande resolvers zonder filtering. Instellingen kunnen hierbij dus een keuze maken of ze wel of niet gebruik willen maken van de filtering van DNS Firewall.

Hoe kan ik DNS Firewall gebruiken?

Het gebruiken van DNS Firewall gaat hetzelfde als elke andere resolver. De clients kunnen worden ingesteld om direct van de resolvers van DNS Firewall gebruik te maken, bijvoorbeeld door middel van DHCP, of een bestaande resolver kan worden ingesteld om alle queries door te sturen naar de resolvers van DNS Firewall. De adressen van de DNS Firewall resolvers zijn:

De resolvers kunnen ook worden benaderd via het anycast adres 145.145.145.146 / 2001:610:145:145:145:146::, waarbij het verkeer bij een van bovenstaande resolvers uitkomt.

Beide resolvers zijn ook bereikbaar via DNS-over-TLS (DoT) op poort 853. De fingerprint voor deze resolvers is op dit moment:

Q7jmtIG/hw6KdIRs2PZjYPzKzNbv9kl3qVRAAz5zkng=

Hoe werkt DNS Firewall?

DNS Firewall maakt gebruikt van Response Policy Zones (RPZ). Dit zijn lijsten met domeinnamen of mogelijke antwoorden die geblokkeerd moeten worden. De volgende bronnen worden gebruikt binnen DNS Firewall:

• Switch, de Zwitserse zusterorganisatie van SURF, levert lijsten die zijn samengesteld uit lijsten van meerdere leveranciers
• MISP, een handmatige lijst, beheerd door SURFcert, voor het blokkeren van domeinen en daarnaast een algemene lijst waarvoor op dit moment alleen hits worden gelogd.

Op het moment dat een client een query stuurt naar een resolver wordt gekeken of de opgevraagde domeinnaam of het antwoord op een RPZ voorkomt om te bepalen hoe de query moet worden afgehandeld.

Wat gebeurt er als een domein geblokkeerd wordt?

In het geval dat een gebruiker een geblokkeerde domeinnaam of IP adres opvraagt, zal deze worden doorgestuurd, door middel van een zogenaamd CNAME record, naar een webserver met een pagina om de gebruiker te informeren over de blokkade. Dit werkt ook voor HTTPS, maar dan zal er wel een melding worden getoond door de browser aangezien het certificaat op de webserver niet matcht met de opgevraagde domeinnaam. Op dezelfde server draait ook een SMTP server die een foutmelding terug zal geven voor mogelijk emailverkeer richting geblokkeerde domeinnamen of IP adressen. Daarnaast zal een ‘hit’ ook worden doorgestuurd naar SURFcert voor logging. Op het moment werken we ook aan een integratie met Netwerk Dashboard zodat de hits ook voor instellingen inzichtelijk worden.

De hostnames waar naar wordt verwezen door de CNAME records zijn:

• landingpage.mw.rpz.surfdomeinen.nl (Malware)
• landingpage.ph.rpz.surfdomeinen.nl (Phishing)
• landingpage.misc.rpz.surfdomeinen.nl (Overig)

Hoe kan ik testen of het werkt?

Om te testen of het blokkeren functioneert kan gebruikt worden gemaakt van het testrecord check.dnsfirewall.ch. Deze domeinnaam wordt altijd geblokkeerd.

Is er logging beschikbaar?

De logging van DNS Firewall-hits is in te zien via het Netwerkdashboard (SURFcert > DNS Firewall) voor personen met de rol ‘Beveiligingsverantwoordelijke’ of ‘Infraverantwoordelijke’.

In de logging zijn de volgende velden opgenomen:

• IP-adres: Het IP-adres van waaruit de DNS-query is uitgevoerd.
• RPZ-feed: De feed waar het gedetecteerde kwaadaardige domein onderdeel van is.
• Hit: Het kwaadaardige domein dat is opgevraagd.
• Waargenomen op: Het tijdstip waarop de DNS-query is uitgevoerd.
• Resolver: De gebruikte resolver voor de query.
• Actie: De genomen actie, zoals redirect to landingspage of log only.

Bij wie moet ik zijn als er een domein niet geblokkeerd moet worden?

Het melden van domeinnamen die verkeerd worden geblokkeerd loopt in eerste instantie via SURFdomeinen (dns-beheer@surf.nl). De webpagina die wordt getoond bij een blokkade bevat ook een formulier om een melding te doen.

Ben ik volledig veilig als ik DNS Firewall gebruik?

Nee, gebruikers kunnen andere resolvers instellen, malware kan andere manier gebruiken om te communiceren en hoewel de lijsten met zorg worden samengesteld zullen deze door de snelle ontwikkelingen nooit helemaal compleet zijn. DNS Firewall biedt de mogelijkheid om een mogelijke aanval in een vroeg stadium te voorkomen of verstoren, maar zal altijd een onderdeel moeten zijn van een bredere aanpak.

Waarom mag de netwerkfirewall DNS Firewall niet rechtstreeks gebruiken voor zijn eigen FQDN-objecten, en hoe stel ik dit correct in?

DNS Firewall beschermt gebruikers door schadelijke domeinen om te leiden naar een landingspagina met behulp van een CNAME record. Als een netwerkfirewall deze gefilterde service gebruikt voor zijn interne FQDN-objecten (Fully Qualified Domain Name), registreert de firewall het IP-adres van onze landingspagina in plaats van het echte kwaadaardige IP-adres. Dit vervuilt de firewall-cache, waardoor legitiem verkeer of de landingspagina zelf per ongeluk wordt geblokkeerd.
Om dit te voorkomen is het strikt noodzakelijk om een split-DNS architectuur toe te passen zodat de firewall altijd het echte kwaadaardige IP-adres leert, terwijl gebruikers beschermd blijven.

Waar kan ik terecht voor vragen?

Voor vragen kan je contact met ons opnemen via dns-beheer@surf.nl.