DNS là "danh bạ điện thoại" của Internet: dịch tên miền (google.com) → địa chỉ IP (142.250.190.46). **Mọi hoạt động Internet đều bắt đầu bằng truy vấn DNS.** Do đó, kiểm soát/bảo vệ DNS = kiểm soát được đâu là điểm xuất phát của mọi kết nối.
Mọi thiết bị, mọi ứng dụng, mọi malware, mọi kết nối C2 (Command & Control) **phải giải quyết tên miền qua DNS**. Kiểm soát DNS = nhìn thấy & chặn được kết nối xấu ở **sớm nhất, nhẹ nhất, rẻ nhất**.
| Tấn công | Mô tả | Hệ quả |
|---|
| DNS Spoofing / Cache Poisoning | Tiêm bản ghi DNS giả vào cache resolver → chuyển hướng victim đến server giả | Phishing, cài malware, đánh cắp credential, MITM |
| DNS Hijacking | Kẻ tấn công奪 kiểm soát router/modem/ISP DNS → đổi NS record hoặc resolver IP | Toàn bộ traffic bị điều hướng, quảng cáo inject, censorship |
| DGA (Domain Generation Algorithm) | Malware tự tạo hàng nghìn domain/ngày để tìm C2 server sống | Chặn bằng blocklist không kịp, cần ML/behavioral detection |
| DNS Tunneling / Exfiltration | Mã hóa dữ liệu nhạy cảm trong subdomain/query TXT/NULL → truyền ra ngoài | Data exfiltration bypass firewall (DNS thường được cho qua) |
| DNS Amplification / Reflection DDoS | Gửi query nhỏ (spoof source IP victim) → resolver phản hồi lớn → ngập victim | DDoS quy mô lớn, khó traceback |
| Typosquatting / Homograph Attack | Đăng ký domain gần giống (gooogle.com, g00gle.com, xn--gogle-xqa.com) | Phishing, brand abuse, malware distribution |
| Fast Flux / Double IP Flux | Thay đổi nhanh IP của domain C2 qua DNS round-robin, proxy layer | Che giấu infrastructure, khó take down |
4. DNS là vector "Living off the Land" – Khó chặn bằng firewall truyền thống
- Firewall thường cho phép UDP/TCP 53 ra ngoài
- Malware dùng DNS hợp pháp (Google 8.8.8.8, Cloudflare 1.1.1.1) → bypass proxy/firewall nội bộ
- Cần **DNS Firewall / Protective DNS / RPZ (Response Policy Zone)** để kiểm soát
5. Tuân thủ & Quy định
- NIST 800-53 (SC-20, SC-21), PCI-DSS Req 1.2.1, CMMC, Zero Trust Architecture (ZTA) – đều yêu cầu **Protective DNS / Encrypted DNS / DNS Monitoring**
Giải pháp bảo mật DNS (Từ cơ bản đến nâng cao)
Mức 1: Mã hóa DNS (Encrypted DNS) – Bảo vệ riêng tư & toàn vẹn
- DoH (DNS over HTTPS - RFC 8484): DNS trong HTTPS (port 443) – khó chặn, khó nghe lén. Hỗ trợ: Firefox, Chrome, Edge, Windows 11, Android 10+, iOS 14+, systemd-resolved
- DoT (DNS over TLS - RFC 7858): DNS trên TLS (port 853) – tách biệt, dễ quản trị firewall. Hỗ trợ: Android 9+, Linux (systemd-resolved, Unbound, Stubby), router OpenWrt/pfSense
- DNSCrypt: Giao thức cũ hơn, ít dùng hơn DoH/DoT
Khuyến nghị: Bật DoH/DoT trên **router** (toàn mạng) hoặc **từng thiết bị**. Nhà cung cấp DoH/DoT uy tín: Cloudflare (1.1.1.1), Quad9 (9.9.9.9), NextDNS, Google (8.8.8.8), OpenDNS.
Mức 2: Protective DNS / DNS Firewall (Lọc nội dung độc hại)
Resolver DNS tích hợp **threat intelligence** – tự động chặn domain: malware, phishing, C2, ransomware, botnet, exploit kit, typosquat, newly registered domain (NRD), crypto-mining.
| Nhà cung cấp | Đặc điểm | Phù hợp |
|---|
| Quad9 (9.9.9.9 / 149.112.112.112) | Phi lợi nhuận, Threat intel từ 20+ nguồn, DoH/DoT, không log IP, hỗ trợ ECS | Cá nhân, SMB, Enterprise (miễn phí) |
| NextDNS | Tùy chỉnh rule (blocklist/allowlist), log phân tích, DoH/DoT, client ID, AI-driven threat detection, giá rẻ | Cá nhân, Gia đình, SMB, Enterprise |
| Cloudflare 1.1.1.1 for Families | 1.1.1.2/1.0.0.2 (Malware), 1.1.1.3/1.0.0.3 (Malware+Adult), DoH/DoT, nhanh | Gia đình, Cá nhân |
| OpenDNS (Cisco Umbrella) | Enterprise-grade, dashboard, policy per network, integration AD, 投资大 | Enterprise, Doanh nghiệp lớn |
| Pi-hole / AdGuard Home (Self-hosted) | Chạy trên Raspberry Pi/VM/Container, blocklist tùy chỉnh, DHCP, DoH/DoT upstream, miễn phí | Power user, Homelab, SMB |
Mức 3: DNSSEC (DNS Security Extensions) – Xác thực nguồn gốc dữ liệu DNS
- Ký số vùng (zone signing) → Resolver xác thực chữ ký (validation) → Đảm bảo bản ghi DNS **không bị sửa đổi** trên đường truyền
- Bảo vệ chống: Cache poisoning, Spoofing, Hijacking
- Triển khai: Ký zone tại authoritative NS (registrar/hosting), bật validation tại resolver (Unbound, BIND, PowerDNS, systemd-resolved, Windows Server DNS)
- Hiện tại: ~30-40% TLD hỗ trợ, ~15-20% domain ký. Đang tăng dần.
Mức 4: Giám sát & Phân tích DNS (DNS Analytics / SIEM)
- Thu log DNS (query, response, latency, NXDOMAIN, SERVFAIL) → SIEM (Splunk, Elastic, Sentinel, Chronicle)
- Phát hiện: DGA (entropy cao, NXDOMAIN nhiều), DNS Tunneling (query dài, TXT/NULL record, entropy cao), C2 beaconing (định kỳ, domain lạ), Fast Flux (TTL thấp, IP thay đổi nhanh)
- Tools: Zeek (Bro), Packetbeat, dnstap, PassiveTotal, Farsight DNSDB, Cisco Umbrella Investigate
Triển khai Protective DNS cho Doanh nghiệp (Enterprise)
- Chọn nhà cung cấp: Cisco Umbrella, Infoblox BloxOne, Palo Alto DNS Security, Zscaler, Quad9 Enterprise, NextDNS Enterprise
- Cấu hình **Forwarder** trên DNS nội bộ (Windows DNS, Infoblox, BlueCat, BIND, Unbound) → forward query ra Protective DNS
- Bật **RPZ (Response Policy Zone)** cho blocklist nội bộ/tùy chỉnh
- Bật **DNSSEC Validation** trên resolver nội bộ
- Bật **DoT/DoH** từ resolver nội bộ → Protective DNS upstream (nếu hỗ trợ)
- Chặn **Straight-to-IP / Bypass DNS** (traffic ra IP trực tiếp không qua DNS) tại firewall
- Giám sát log, alert bất thường, tích hợp SOAR tự động block
Câu hỏi thường gặp
DNS an toàn có làm chậm Internet không?
DoH/DoT thêm 1 RTT TLS handshake (lần đầu), sau đó session reuse. Protective DNS thêm độ trễ < 10-20ms (thường nhanh hơn ISP DNS do anycast global). **Không cảm thấy chậm**.
Có nên dùng 8.8.8.8 (Google) / 1.1.1.1 (Cloudflare) làm DNS chính không?
Được, nhưng **chưa đủ bảo mật**. Chúng không chặn malware/phishing mặc định (trừ 1.1.1.1 for Families). Nên dùng **Quad9 (9.9.9.9)** hoặc **NextDNS** – có protective filtering miễn phí.
DNSSEC thay thế được DoH/DoT không?
Khác nhau hoàn toàn. DNSSEC = xác thực **toàn vẹn nguồn gốc** bản ghi DNS (chống spoofing). DoH/DoT = **mã hóa đường truyền** (chống nghe lén, censorship). **Cần CẢ HAI**.
Làm sao chặn DNS Tunneling?
- Rate limit query/độ dài subdomain/record type lạ (TXT, NULL) tại firewall/DNS proxy
- Dùng tool phát hiện: dnscap, Iodine detector, Zeek DNS analyzer, SIEM rule entropy
- Chặn record type không cần thiết (TXT, NULL, ANY) ra Internet
- Bắt buộc tất cả DNS qua resolver nội bộ (chặn UDP/TCP 53 ra WAN trừ resolver)
Kết luận
Bảo mật DNS là **lớp phòng thủ đầu tiên, rẻ nhất, hiệu quả nhất** trong Defense in Depth. Triển khai theo thứ tự: **1. DoH/DoT (mã hóa) → 2. Protective DNS (Quad9/NextDNS/Pi-hole lọc độc hại) → 3. DNSSEC Validation (xác thực) → 4. DNS Monitoring/Analytics (phát hiện DGA, tunneling, C2)**. Không bảo mật DNS = mù loà trước mối đe dọa hiện đại.
