Proteggere e visualizzare il traffico DNS

Per creare una policy di risoluzione DNS utilizzando il portale Azure:

1. Nella Home Page del portale Azure, cerca e seleziona Politiche DNS Solver. Puoi anche scegliere la politica DNS Resolver da Azure Marketplace.

2. Selezionare + Crea per iniziare a creare un nuovo criterio.

3. Nella scheda Dati principali selezionare la Sottoscrizione e il Gruppo di risorse oppure creare un nuovo gruppo di risorse.

4. Accanto a Nome Istanza, inserisci un nome per la policy del resolver DNS e poi scegli la Regione in cui si applica la policy del resolver.

   Note

   Puoi applicare una policy di risoluzione DNS solo ai VNet nella stessa regione della policy del resolvero.

   

5. Selezionare Avanti: Collegamenti di rete virtuale e quindi selezionare + Aggiungi.

6. Vengono visualizzati i VNet nella stessa regione della policy del risolver. Selezionare una o più reti virtuali disponibili e quindi selezionare Aggiungi. Non puoi scegliere un VNet già associato a un'altra policy del risolver. Nel seguente esempio, due VNet sono associate a una policy di risolver, lasciando due VNet disponibili da selezionare.

   

7. Vengono visualizzate le reti virtuali selezionate. Se si vuole, è possibile rimuovere le reti virtuali dall'elenco prima di creare collegamenti di rete virtuale.

   

   Note

   I collegamenti di rete virtuale vengono creati per tutte le reti virtuali visualizzate nell'elenco, indipendentemente dal fatto che siano selezionate o meno. Usare le caselle di controllo per selezionare le reti virtuali da rimuovere dall'elenco.

8. Selezionare Rivedi e crea e quindi Crea. Questo passaggio salta Next: DNS Traffic Rules, ma ora puoi anche creare regole di traffico. In questa guida, crei regole di traffico e liste di domini DNS e le applichi successivamente alla policy del resolver DNS.

Creare un'area di lavoro Log Analytics

Ignorare questa sezione se si ha già un'area di lavoro Log Analytics che si vuole usare.

Per creare un'area di lavoro Log Analytics usando il portale di Azure:

1. Nella pagina Home del portale di Azure cercare e selezionare Aree di lavoro Log Analytics. È anche possibile scegliere Area di lavoro Log Analytics da Azure Marketplace.

2. Selezionare + Crea per iniziare a creare una nuova area di lavoro.

3. Nella scheda Dati principali selezionare la Sottoscrizione e il Gruppo di risorse oppure creare un nuovo gruppo di risorse.

4. Accanto a Nome immettere un nome per l'area di lavoro e quindi scegliere l'Area per l'area di lavoro.

   

5. Selezionare Rivedi e crea e quindi Crea.

Configurare le impostazioni di diagnostica

Dopo aver creato uno spazio di lavoro Log Analytics, configura le impostazioni diagnostiche nella tua policy del resolver per utilizzare questo spazio di lavoro.

Per configurare le impostazioni di diagnostica:

1. Seleziona la policy del risoluzione DNS che hai creato (myeast-secpol in questo esempio).

2. Selezionare Impostazioni di diagnostica in Monitoraggio.

3. Selezionare Aggiungi impostazione di diagnostica.

4. Accanto a Nome impostazione di diagnostica immettere un nome per i log raccolti qui.

5. In Log e in Metriche selezionare l'opzione "tutti" per log e metriche.

6. In Dettagli destinazione selezionare Invia all'area di lavoro Log Analytics e quindi scegliere la sottoscrizione e l'area di lavoro creata.

7. Selezionare Salva. Vedere l'esempio seguente.

   

Creare un elenco di domini DNS

Per creare un elenco di domini DNS usando il portale di Azure:

1. Nella pagina Home del portale di Azure cercare e selezionare Elenchi di domini DNS.

2. Selezionare + Crea per iniziare a creare un nuovo elenco di domini.

3. Nella scheda Dati principali selezionare la Sottoscrizione e il Gruppo di risorse oppure creare un nuovo gruppo di risorse.

4. Accanto al nome della lista di domini, inserisci un nome per la lista di domini e poi scegli la Regione per la lista.

   Note

   Le policy dei resolver richiedono liste di dominio nella stessa regione.

5. Selezionare Avanti: Domini DNS.

6. Nella scheda Domini DNS immettere manualmente i nomi di dominio uno alla volta o importarli da un file con valori delimitati da virgole (CSV).

   

7. Al termine dell'immissione dei nomi di dominio, selezionare Rivedi e crea e quindi selezionare Crea.

Ripetere questa sezione per creare altri elenchi di domini, se necessario. Ogni elenco di domini può essere associato a una regola di traffico che include una delle tre azioni seguenti:

• Consenti: consente la query DNS e la registra.
• Blocca: blocca la query DNS e registra l'azione di blocco.
• Avviso: consente la query DNS e registra un avviso.

È possibile aggiungere o rimuovere dinamicamente più elenchi di domini da una singola regola del traffico DNS.

Configurare le regole del traffico DNS

Ora che hai una lista di domini DNS, configura le impostazioni diagnostiche nella policy del tuo resolver per utilizzare questo workspace.

Per configurare le impostazioni di diagnostica:

1. Seleziona la policy del risoluzione DNS che hai creato (myeast-secpol in questo esempio).

2. In Impostazioni selezionare Regole traffico DNS.

3. Selezionare + Aggiungi. Viene visualizzato il riquadro Aggiungi regola del traffico DNS.

4. Accanto a Priorità immettere un valore compreso nell'intervallo 100-65000. Le regole con un numero inferiore hanno priorità più alta.

5. Accanto a Nome regola immettere un nome per la regola.

6. Accanto a Elenchi di domini DNS selezionare gli elenchi di domini da usare in questa regola.

7. Accanto ad Azione traffico selezionare Consenti, Blocca o Avviso in base al tipo di azione da applicare ai domini selezionati. In questo esempio viene scelta l'opzione Consenti.

8. Lasciare lo Stato della regola predefinito impostato su Abilitato e selezionare Salva.

   

9. Aggiornare la visualizzazione per verificare che la regola sia stata aggiunta correttamente. È possibile modificare le azioni del traffico, gli elenchi di domini DNS, la priorità delle regole e lo stato delle regole.

   

Proteggi il traffico DNS con il feed di intelligence sulle minacce

Il feed di threat intelligence è una lista di domini completamente gestita che Microsoft aggiorna continuamente in background. All'interno della policy dei resolver DNS, trattalo come qualsiasi altra lista di domini standard. Usa lo stesso modello di configurazione per la priorità e per l'azione scelta (permesso, blocco o allerta).

Seleziona il feed di threat intelligence aggiungendo una nuova regola sul traffico DNS. Configura la regola con l'azione che vuoi applicare e la sua rispettiva priorità.

Associa il feed di threat intelligence a una regola di traffico DNS selezionando DNS di Azure threat intel:

Configurare l'azione e la priorità:

Visualizzare e testare i log DNS

1. Vai alla tua policy di risoluzione DNS. Selezionare Impostazioni di diagnostica in Monitoraggio.
2. Seleziona lo spazio di lavoro Log Analytics che avevi precedentemente associato alla policy del resolver (secpol-loganalytics in questo esempio).
3. Selezionare Log a sinistra.
4. Per visualizzare le query DNS da una macchina virtuale con indirizzo IP 10.40.40.4 nella stessa area, eseguire una query come indicato di seguito:

DNSQueryLogs
| where SourceIpAddress contains "10.40.40.4"
| limit 1000

Vedere l'esempio seguente:

Tenere presente che la regola di traffico contenente contoso.com è stata impostata su Consenti per le query. La query dalla macchina virtuale restituisce una risposta di esito positivo:

C:\>dig db.sec.contoso.com +short
10.0.1.2

Espandendo i dettagli della query in Log Analytics vengono visualizzati i dati, ad esempio:

• OperazioneNome: RESPONSE_SUCCESS
• Area: eastus
• Nome della richiesta: db.sec.contoso.com
• Tipo di Query: A
• SourceIpAddress: 10.40.40.4
• Percorso di Risoluzione: Risoluzione DNS Privata
• ResolverPolicyRuleAction: Consenti

Se la regola del traffico viene modificata e impostata su Blocca per le query di contoso.com, la query dalla macchina virtuale genera una risposta di esito negativo. Assicurarsi di selezionare Salva quando si modificano i componenti di una regola.

Questa modifica genera una query non riuscita:

C:\>dig @168.63.129.16 db.sec.contoso.com
; <<>> DiG 9.18.33-1~deb12u2-Debian <<>> db.sec.contoso.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 26872
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1224
; COOKIE: 336258f5985121ba (echoed)
;; QUESTION SECTION:
; db.sec.contoso.com. IN  A

;; ANSWER SECTION:
db.sec.contoso.com. 1006632960 IN CNAME blockpolicy.azuredns.invalid.

;; AUTHORITY SECTION:
blockpolicy.azuredns.invalid. 60 IN     SOA     ns1.azure-dns.com. support.azure.com. 1000 3600 600 1800 60

;; Query time: 0 msec
;; SERVER: 168.63.129.16#53(168.63.129.16) (UDP)
;; WHEN: Mon Sep 08 11:06:59 UTC 2025
;; MSG SIZE  rcvd: 183

La query non riuscita viene registrata in Log Analytics:

Configurare un repository PowerShell locale e installare il modulo Az.DnsResolver di PowerShell. Questa operazione è necessaria solo se non si usa Cloud Shell.

1. Creare una nuova cartella sul disco da usare come repository PowerShell locale. In questo esempio usare C:\bin\PSRepo.

2. Scaricare Az.DnsResolver.0.2.6.nupkg in questa directory.

3. Configurare il repository locale eseguendo il comando seguente:

   # Register the repository
   Register-PSRepository -Name LocalPSRepo -SourceLocation 'C:\bin\PSRepo' -ScriptSourceLocation 'C:\bin\PSRepo' -InstallationPolicy Trusted
   
   # Install the Az.DnsResolver module
   Install-Module -Name Az.DnsResolver -RequiredVersion 0.2.6 -SkipPublisherCheck
   
   # If you already installed Az.DnsResolver, update your version to 0.2.6
   Update-Module -Name Az.DnsResolver
   
   # Confirm that the Az.DnsResolver module was installed properly
   Get-InstalledModule -Name Az.DnsResolver
   

4. Impostare il contesto della sottoscrizione

   # Connect PowerShell to Azure cloud
   Connect-AzAccount -Environment AzureCloud
   
   # Set your default subscription
   Select-AzSubscription -SubscriptionObject (Get-AzSubscription -SubscriptionId <your-sub-id>)
   

5. Crea una policy di risoluzione DNS con PowerShell.

   $ErrorActionPreference = "Stop"
   
   ################################################################
   # Configure resource names and locations
   ################################################################
   
   $resourceNumber = 1 # Customize this if needed
   $region = "centralus" # Change this region to your preference
   if ($env:username) {$name = "$($env:username)"} else {$name = "$($env:USER)"}  # The environment variable is different in Cloud Shell vs local PowerShell
   $nameSuffix = "test-$($region)-$($name)-resolverpolicytest$($resourceNumber)-test"
   $resourceGroupName = "rg-$($nameSuffix)"
   $virtualNetworkName = "vnet-$($nameSuffix)"
   $resolverPolicyName = "dnsresolverpolicy-$($nameSuffix)"
   $domainListName = "domainlist-$($nameSuffix)"
   $securityRuleName = "securityrule-$($nameSuffix)"
   $resolverPolicyLinkName = "dnsresolverpolicylink"
   $storageAccountName = "stor$($name.ToLower())"  # Customize this, taking care that the name is not too long
   $storageAccountName = $storageAccountName.Substring(0, [Math]::Min(24, $storageAccountName.Length)) # Storage account names must be 3-24 characters long
   $diagnosticSettingName = "diagnosticsetting-$($nameSuffix)"
   $vnetId = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Network/virtualNetworks/$virtualNetworkName"
   
   ################################################################
   # Create resource group, virtual network, and storage account
   ################################################################
   
   Write-Host "Creating resource group"
   $rg = New-AzResourceGroup -Name $resourceGroupName -Location $region
   Write-Host ($rg | ConvertTo-Json -Depth 64)
   
   Write-Host "Creating virtual network"
   $defaultSubnet = New-AzVirtualNetworkSubnetConfig -Name "default" -AddressPrefix "10.$resourceNumber.0.0/24"
   $vnet = New-AzVirtualNetwork -Name $virtualNetworkName -ResourceGroupName $resourceGroupName -Location $region -AddressPrefix "10.$resourceNumber.0.0/16" -Subnet $defaultSubnet
   Write-Host ($vnet | ConvertTo-Json -Depth 64)
   
   Write-Host "Creating storage account"
   $storageAccount = New-AzStorageAccount -ResourceGroupName $resourceGroupName -Name $storageAccountName -Location $region -SkuName Standard_GRS
   Write-Host $storageAccount.ToString()
   
   ################################
   # Create DNS resolver policy
   ################################
   
   Write-Host "Creating DNS resolver policy"
   $resolverPolicy = New-AzDnsResolverPolicy -Location $region -ResourceGroupName $resourceGroupName -Name $resolverPolicyName
   Write-Host $resolverPolicy.ToJsonString()
   
   Write-Host "Creating DNS resolver policy virtual network link"
   $link = New-AzDnsResolverPolicyVirtualNetworkLink -Location $region -ResourceGroupName $resourceGroupName -DnsResolverPolicyName $resolverPolicyName -Name $resolverPolicyLinkName -VirtualNetworkId $vnetId
   Write-Host $link.ToJsonString()
   
   $log = New-AzDiagnosticSettingLogSettingsObject -Enabled $true -Category DnsResponse
   
   Write-Host "Creating diagnostic setting"
   $diagnosticSetting = New-AzDiagnosticSetting -Name $diagnosticSettingName -ResourceId  $resolverPolicy.id -Log $log -StorageAccountId $storageAccount.id
   Write-Host $diagnosticSetting.ToJsonString()
   
   Write-Host "Creating domain list"
   $domainList = New-AzDnsResolverDomainList -Location $region -ResourceGroupName $resourceGroupName -Name $domainListName -Domain @("contoso.com.", "adatum.com.")
   Write-Host $domainList.ToJsonString()
   
   Write-Host "Creating DNS resolver policy rule"
   $rule = New-AzDnsResolverPolicyDnsSecurityRule -ResourceGroupName $resourceGroupName -Name $securityRuleName -DnsResolverDomainList @{id = $domainList.Id;} -DnsSecurityRuleState "Enabled" -ActionType "Block" -ActionBlockResponseCode "SERVFAIL" -Priority 100 -DnsResolverPolicyName $resolverPolicyName -Location $region
   Write-Host $rule.ToJsonString()
   

6. Facoltativo: aggiornare i criteri del risolutore Domain Name Server con nuovi valori.

   ################################
   # Update DNS resolver policy
   ################################
   
   Write-Host "Updating DNS resolver policy"
   $resolverPolicy = Update-AzDnsResolverPolicy -ResourceGroupName $resourceGroupName -Name $resolverPolicyName -Tag @{"key0" = "value0"}
   Write-Host $resolverPolicy.ToJsonString()
   
   Write-Host "Updating DNS resolver policy virtual network link"
   $link = Update-AzDnsResolverPolicyVirtualNetworkLink -ResourceGroupName $resourceGroupName -DnsResolverPolicyName $resolverPolicyName -Name $resolverPolicyLinkName -Tag @{"key1" = "value1"}
   Write-Host $link.ToJsonString()
   
   $log = New-AzDiagnosticSettingLogSettingsObject -Enabled $false -Category DnsResponse
   
   Write-Host "Updating diagnostic setting by disabling log category"
   $diagnosticSetting = New-AzDiagnosticSetting -Name $diagnosticSettingName -ResourceId  $resolverPolicy.id -Log $log -StorageAccountId $storageAccount.id
   Write-Host $diagnosticSetting.ToJsonString()
   
   Write-Host "Updating domain list"
   $domainList = Update-AzDnsResolverDomainList -ResourceGroupName $resourceGroupName -Name $domainListName -Tag @{"key2" = "value2"}
   Write-Host $domainList.ToJsonString()
   
   Write-Host "Updating DNS resolver policy rule"
   $rule = Update-AzDnsResolverPolicyDnsSecurityRule -ResourceGroupName $resourceGroupName -Name $securityRuleName -DnsResolverDomainList @{id = $domainList.Id;} -DnsResolverPolicyName $resolverPolicyName
   Write-Host $rule.ToJsonString()
   

7. Rivedi la configurazione della policy del resolver DNS.

   ################################
   # Get DNS resolver policy
   ################################
   
   Write-Host "Getting DNS resolver policy"
   $resolverPolicy = Get-AzDnsResolverPolicy -ResourceGroupName $resourceGroupName -Name $resolverPolicyName
   Write-Host $resolverPolicy.ToJsonString()
   
   Write-Host "Getting DNS resolver policy virtual network link"
   $link = Get-AzDnsResolverPolicyVirtualNetworkLink -ResourceGroupName $resourceGroupName -DnsResolverPolicyName $resolverPolicyName -Name $resolverPolicyLinkName
   Write-Host $link.ToJsonString()
   
   Write-Host "Getting diagnostic setting"
   $diagnosticSetting = Get-AzDiagnosticSetting -ResourceId $resolverPolicy.id
   Write-Host $diagnosticSetting.ToJsonString()
   
   Write-Host "Getting domain list"
   $domainList = Get-AzDnsResolverDomainList -ResourceGroupName $resourceGroupName -Name $domainListName
   Write-Host $rule.ToJsonString()
   
   Write-Host "Getting DNS resolver policy rule"
   $rule = Get-AzDnsResolverPolicyDnsSecurityRule -ResourceGroupName $resourceGroupName -Name $securityRuleName -DnsResolverPolicyName $resolverPolicyName
   Write-Host $rule.ToJsonString()
   

Politica di risoluzione DNS di test

Per testare la tua nuova policy risolver, collegati a un dispositivo host all'interno della rete virtuale e lancia una query per i domini che hai bloccato. In questo esempio, la lista dei domini è contoso.com e adatum.com.

Inserimento

Resolve-DnsName -Name contoso.com -Type NS

Risultato:

Resolve-DnsName : contoso.com : DNS server failure
At line:1 char:1
+ Resolve-DnsName -Name contoso.com -Type NS
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (contoso.com:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : RCODE_SERVER_FAILURE,Microsoft.DnsClient.Commands.ResolveDnsName