新聞

企業即使已導入零信任存取控制，DNS解析仍可能缺乏使用者身分與權限檢查，讓未經授權的使用者有機會透過DNS查詢得知內部服務的位址資訊。雲端安全聯盟（CSA）發布新版DNS與軟體定義邊界（Software-Defined Perimeter，SDP）整合研究，提出Secure Multi-Step DoH架構，主張在解析網域名稱前先確認使用者身分、裝置安全狀態及存取權限，防止未經授權的使用者取得受保護服務的DNS解析結果。

DNS over HTTPS（DoH）及DNS over TLS（DoT）雖能加密DNS查詢、保護傳輸內容，卻無法單憑加密功能判斷查詢者是否有權存取相關服務。

為解決這項問題，Secure Multi-Step DoH將SDP強調的「先驗證、再連線」（Authenticate-Before-Connect）原則延伸至「先驗證、再解析」（Authenticate-Before-Resolve）。企業可整合既有身分管理、裝置管理及端點安全機制，根據使用者身分、裝置安全狀態及存取政策，判斷是否允許解析受保護服務的網域名稱。

不過，通過DNS授權並不代表使用者已獲准建立網路連線。CSA強調，後續連線仍須由SDP、零信任網路存取（Zero Trust Network Access，ZTNA）等機制獨立驗證，應用程式也須繼續控管使用者能夠存取的資料與功能。

CSA在2022年提出的DNS與SDP整合研究，主要著重網域名稱過濾及查詢記錄。2.0版則將DNS解析前的授權控制納入架構設計，並探討如何與網路基礎架構隱藏協定（Network-Infrastructure Hiding Protocol，NHP）、零信任網路存取（ZTNA）及安全存取服務邊緣（Secure Access Service Edge，SASE）等技術整合。

Secure Multi-Step DoH可讓遠距辦公、出差或在辦公室工作的使用者，依照一致的存取政策查詢企業內部服務，不再單憑使用者所在的網路位置決定DNS解析權限。已部署零信任存取機制的企業，也可進一步評估是否將DNS解析納入存取控制。不過，Secure Multi-Step DoH目前仍屬架構設計建議，這次CSA發布的研究並未提供實際部署的效能、導入成本或防護成效等量化資料。