أستكشاف أخطاء إدخالات سجل نشاط DNS وإصلاحها مع حظر القرار
المحتويات
مسألة
ويتم الإبلاغ عن واحد أو أكثر من هذه الأعراض:
يظهر البحث في النشاط (Monitor > Activity Search، تمت تصفيته إلى أحداث DNS) القرار/الإجراء = "محظور" لمجال، لكن مراجعة قواعد الوصول إلى الإنترنت لا يكشف قاعدة من الواضح أنها تمنعه.
المجال غير موجود في أي قائمة وجهة حظر يحتفظ بها المسؤول.
البيئة
تستند المعلومات الواردة في هذا المستند إلى:
النظام الأساسي لسحابة الوصول الآمن (SSE) من Cisco
Cisco Secure Client 5.x مع نشر وحدة أمان التجوال وتسجيلها إلى مؤسسة وصول آمن
قرار
الخطوة 1. التحقق من الهوية التي تم تقييمها
تأكد من الهوية التي اتخذ القرار ضدها. إذا أظهر الحدث هوية شبكة أو موقع أو نفق بدلا من الكمبيوتر أو المستخدم المتجول المتوقع، فإن الاستعلام يطابق مجموعة قواعد مختلفة عن تلك التي تمت مراجعتها.
بالنسبة للمستخدمين المتجولين، تحقق من تسجيل الجهاز وإعداد تقارير عنه كمحمي
عدم تطابق الهوية: قم بتصحيح عملية النشر بحيث يتم تطبيق الهوية المقصودة — قم بتسجيل الجهاز المتجول، أو إصلاح تعيين AD/مجموعة المستخدمين، أو ضبط مجموعة قواعد هوية الشبكة — بدلا من تخفيف القاعدة التي تطابق بشكل غير صحيح.
الخطوة 2:التحقق من مطابقة فئة أمان
إذا كان الحدث يحمل فئة أمان (البرامج الضارة، C2، التصيد الاحتيالي، المجالات التي تم عرضها حديثا، اتصال DNS النفقي، وما إلى ذلك)، فإن الكتلة تأتي من إعدادات الأمان لمجموعة القواعد المتطابقة — لا تحتاج قائمة الوجهة أو قاعدة المحتوى إلى الإشارة إلى المجال.
ابحث عن السمعة الحالية للمجال وتصنيفه على بوابة الذكاء Cisco Telos في https://talosintelligence.com/ (البحث عن مركز السمعة).
إذا كانت التصنيف أو السمعة الموضحة في Talos غير صحيحة، فقم بتقديم طلب نزاع/إعادة تصنيف (فتح حالة) مع Talos مباشرة من خلال https://talosintelligence.com/ حتى تتم إعادة تقييم المجال. بمجرد أن يقوم Talos بتحديث التصنيف، يتم نشر التغيير لضمان تنفيذ الوصول.
الخطوة 3:فحص سلسلة CNAME
قم بحل المجال من نقطة vantage غير المصفاة وفحص سلسلة الإجابات الكاملة (على سبيل المثال،
dig +noall +response <domain>أوnslookup -debug <domain>).تحقق من كل هدف CNAME في السلسلة مقابل قوائم الوجهة وضد تصنيف Talos؛ يقوم هدف CNAME المحظور بشرح قرار تم حظره على مجال الاستعلام نظيفا ظاهريا
الخطوة 4:إعادة تقييم النهج من أعلى إلى أسفل للهوية الفعلية
قم بالتنقل مع قواعد الوصول إلى الإنترنت بالترتيب كهوية من الخطوة 1، وتحقق من نطاق الهوية لكل قاعدة، وجدولة، وحالة التمكين، وإعدادات الأمان/المحتوى/التطبيق، وصولا إلى القاعدة الافتراضية وتضمينها.
أستخدم مختبر السياسات (على سبيل المثال - policy.test.sse.cisco.com/?=cisco.com) بالهوية الدقيقة والوجهة لمعرفة القاعدة التي تعد تقارير الوصول الآمن مطابقا لها، ومقارنتها بالقاعدة المسماة على الحدث.
حالة خاصة: المجالات التي تم عرضها حديثا
إذا كانت فئة الأمان في الحدث هي المجالات التي تم عرضها حديثا (NSD)
خيارات المعالجة، حسب الأفضلية:
إذا كان المجال حساسا للأعمال، فقم بإضافته إلى قائمة السماح بالوجهة المشار إليها بواسطة القاعدة القابلة للتطبيق؛ تكون الأولوية لإدخال السماح على كتلة أمان NSD لتلك الوجهة.
تعطيل DNS المشفر (DoH) و QUIC
يمكن أن يتسبب DNS و QUIC المشفر في حدوث فجوات في رؤية طبقة DNS والتي تساهم في إرباك نتائج البحث عن النشاط: لا تصل الاستعلامات التي تم حلها عبر المستعرض DoH مطلقا إلى "محولات الوصول الآمن" (وبالتالي فهي مفقودة من السجل بالكامل)، بينما يمكن أن تظهر مجالات موفر DoH نفسها كأحداث محظورة.
ويضمن تعطيل عمليات النقل هذه على نقاط النهاية المدارة أن يظل نظام أسماء المجالات DNS قابلا للفحص وأن يعكس سجل النشاط سلوك نقطة النهاية الفعلي.
DNS عبر HTTPS (DoH) لكل متصفح
Google Chrome
يدوي: انتقل إلى
chrome://settings/securityوإيقاف تشغيل إستخدام DNS الآمن.
Microsoft Edge
يدوي: انتقل إلى
edge://settings/privacyوإيقاف تشغيل إستخدام DNS الآمن.
Mozilla Firefox
يدوي: القائمة > إعدادات > الخصوصية والأمان > DNS عبر HTTPS (أو إعدادات الشبكة في الإصدارات الأقدم) وحدد إيقاف / إلغاء تحديد تمكين DNS عبر HTTPS.
ملاحظة: تقوم محولات Umbrella/Secure Access بالإجابة على مجال Mozilla Canary (use-application-dns.net) بطريقة تشير إلى Firefox لإبقاء DoH بعيدا بشكل افتراضي؛ لا تزال إعدادات GPO الصريحة موصى بها لأن تكوين DoH المعين من قبل المستخدم يتجاوز التحقق الكنسي. تحذير: لا تقم بإضافة مجالات Mozilla kill-switch/canary إلى قائمة وجهة الحظر — يتم التعامل مع إستجابة سجل A لكتلة الصفحة على أنها صحيحة ويمكن أن تتسبب في قيام Firefox بالاحتفاظ باستخدام DoH أو ترقيته.
QUIC (HTTP/3)
يركض QUIC عبر UDP/443 ويستطيع حمل كلا من حركة مرور الويب العامة و DoH3 (DNS عبر HTTP/3)، متجاوزا مسارات التفتيش التي تتوقع TCP.
تعطيل مستعرضات QUIC القوية للرجوع إلى HTTP/2 أو HTTP/1.1 القائم على TCP، والذي يستعيد إمكانية الرؤية الكاملة:
الكروم / الحافة: يدوي (غير متواصل وقابل للتغيير من قبل المستخدم): ضبط
chrome://flags/#enable-quic/edge://flags/#enable-quicإلى معطل.برنامج Firefox: ثبتت التفضيل
network.http.http3.enable = false(حول:config أو policy/AutoConfig).
إذا كان، بعد هذه الخطوات، لا يزال من غير الممكن مطابقة القاعدة المطابقة التي تم الإعلام عنها حول الحدث مع التكوين، فقم بفتح حالة باستخدام Cisco TAC وتقديم تصدير حدث البحث عن النشاط (الطابع الزمني مع المنطقة الزمنية، والهويات، والقاعدة المطابقة، والفئات، ونوع السجل، والمجال) مع لقطات الشاشة للقواعد ذات الصلة وقوائم الوجهة.
السبب
مطابقة فئة الأمان (Talos Intelligence) - يتم حظر المجال بواسطة إعداد أمان - على سبيل المثال البرامج الضارة أو الأوامر والتحكم أو التصيد الاحتيالي أو تشفير DNS أو اتصال DNS النفقي أو المجالات التي تم عرضها حديثا - استنادا إلى سمعة Cisco Talos وتصنيفها، وليس بواسطة أي قائمة وجهة أو قاعدة محتوى قام المسؤول بتكوينها بشكل صريح. هذا هو السبب الأكثر شيوعا لعدم وجود تطابق واضح.
عدم تطابق نسبة الهوية - تم إرجاع الاستعلام إلى هوية مختلفة عن ما كان متوقعا (هوية الشبكة/الموقع بدلا من الكمبيوتر المتجول، أو مستخدم/مجموعة AD مختلفة، أو جهاز غير مسجل يرجع إلى نهج على مستوى الشبكة)، لذا تمت مطابقة قاعدة مختلفة - غالبا ما تكون أكثر صرامة أو افتراضية.
ترتيب القاعدة والقاعدة الافتراضية - قاعدة أوسع أعلى في السياسة (أو قاعدة التقصير/إسقاط الكل في الأسفل) متطابقة قبل قاعدة السماح المقصودة؛ يمكن أيضا تعطيل القاعدة المقصودة أو جدولتها أو نطاقها مع الهويات التي لا تتضمن المصدر المتأثر.
توريث قائمة الوجهة - تحتوي قائمة وجهة حظر على مجال أصلي (example.com)، يغطي ضمنيا جميع المجالات الفرعية (app.example.com)، أو يحتوي على IP/CIDR الذي يتم تحليل المجال إليه. إن البحث في القوائم عن FQDN الدقيق وحده لا يظهر هذا.
حظر سلسلة CNAME - المجال الذي تم الاستعلام عنه مسموح به، ولكن سلسلة تحليل البيانات تحتوي على CNAME إلى مجال (غالبا CDN أو Tracker أو مضيف متوقف/محظور) تم حظره؛ يتم تطبيق القرار على السلسلة، ويعرض السجل المجال الذي تم الاستعلام عنه في الأصل كمجال محظور.
مطابقة فئة التطبيق أو المحتوى - ينتمي المجال إلى تطبيق محظور (التحكم في التطبيق) أو فئة محتوى لم يقم المسؤول بإقرانه؛ يمكن أن تختلف التصنيفات عن الحدس (على سبيل المثال، أداة عمل مصنف على أنه مشاركة الملفات أو وكيل/مجهول).
التغيير الأخير في السياسة أو التصنيف - تم تغيير السياسة أو تصنيف Talos مؤخرا؛ الحدث قيد المراجعة (أو التواريخ اللاحقة) لم يكن التغيير، أو نشر النهج/مزامنة العميل قد تم إكماله وقت الاستعلام.
المحتوى ذي الصلة
محفوظات المراجعة
| المراجعة | تاريخ النشر | التعليقات |
|---|---|---|
1.0 |
30-Oct-2026
|
الإصدار الأولي |
التعليقات