🔒 DNS как основа Zero Trust: ключевые изменения в рекомендациях NIST

NIST опубликовал третью ревизию SP 800-81 — не косметическое обновление, а фундаментальный сдвиг в понимании роли DNS в архитектуре безопасности. Сервис разрешения имён теперь воспринимается как критический элемент инфраструктуры Zero Trust, а не просто техническая подпорка.

Основные нововведения:
🔵Protective DNS как базовый слой многоуровневой защиты (defense-in-depth): обязательная блокировка вредоносных доменов, фильтрация трафика и сбор телеметрии для расследования инцидентов (DFIR).
🔵 Шифрование трафика DNS по умолчанию: DoH, DoT, DoQ — требование для федеральных агентств США. Для корпоративного сектора это чёткий сигнал о необходимости миграции.
🔵 DNSSEC как обязательный стандарт: не только для внешних зон, но и внутренних (особенно под регуляторными требованиями). Рекомендации по алгоритмам — ECDSA P-256/Ed25519 вместо RSA, ротация ключей каждые 1–3 года, использование HSM для KSK.
🔵 Детекция эксфильтрации данных через DNS: анализ аномалий по объёму запросов, паттернам туннелирования и другим индикаторам.
🔵Гибридная архитектура: комбинация on-premise и облачных решений Protective DNS для оптимального баланса задержек и масштаба.

⚠️ Что это значит для бизнеса:
DNS превращается в точку принудительного применения политик безопасности (policy enforcement point). Если в вашей Zero Trust-модели DNS остаётся незащищённым или слабо контролируемым — это очевидный вектор обхода остальных средств защиты.

Особое внимание уделено OT/IoT-инфраструктуре: для устройств с ограниченными ресурсами DNS может стать единственным эффективным слоем защиты (установить полноценный антивирус часто невозможно).

💡 Практические рекомендации:
Для анализа DNS-трафика могут так же использоваться NTA/NDR решения, иногда NetFlow-анализаторы.

TS Solution в Telegram | в MAX | в VK