**Поддомен:** Cybersecurity
**Роль:** Специалист по ИБ
---
### H1: DNS как точка входа атак: как анализ уязвимости разрешения имён влияет на архитектуру защиты в дипломе
В марте 2026 года SecurityLab опубликовал кейс, где злоумышленники использовали *DNS-запросы* для обхода WAF и проникновения в внутреннюю сеть через «незаметный» запрос `api.example.com → 10.10.10.42`. В статье показано: **не сама атака — а способ её детектирования и предотвращения через контроль разрешения имён** — определяет успех защиты. Для выпускника ИТ это не просто «интересный факт» — это ключевой элемент современной стратегии безопасности, который можно и нужно отразить в дипломной работе. Особенно если вы проектируете систему с многоуровневой защитой (например, SaaS-платформу или цифровой сервис госуслуг), где DNS — первый барьер.
---
## Темы ВКР (по схеме C: карточки + структура)
| Тема | Актуальность (ссылка на статью) | Цель | Задачи | Структура |
|------|----------------------------------|------|--------|-----------|
| **Архитектура безопасного DNS-резолвинга в микросервисной среде** | В статье показано, что 73% атак на API проходят через DNS-перенаправление, даже при наличии TLS и WAF. | Разработать архитектуру, где DNS-запросы интегрируются в цепочку проверок безопасности. | 1. Проанализировать протоколы DNS (EDNS, DNS-over-TLS/HTTPS), 2. Спроектировать схему резолвинга с фильтрацией по IP/AS, 3. Интегрировать метки в OpenTelemetry, 4. Проверить соответствие OWASP ASVS v4.0. | Гл.1: Анализ — теория DNS и угрозы; Гл.2: Проектирование — C4-диаграмма, UML-классы, конфигурация CoreDNS; Гл.3: Тестирование — нагрузочные тесты, мониторинг TTPs |
| **Методы обнаружения и блокировки DNS-туннелирования в CI/CD-пайплайнах** | Статья описывает, как злоумышленник внедрил туннель через `subdomain..com` — и только после анализа логов DNS-сервера был обнаружен. | Научиться выявлять подозрительные DNS-запросы в автоматизированных пайплайнах. | 1. Собрать данные из CoreDNS и Fluentd, 2. Реализовать правила в Suricata/Zeek, 3. Добавить alerting в Grafana, 4. Оценить false-positive rate. | Гл.1: Обзор методов мониторинга и аналитики; Гл.2: Реализация — скрипт на Python + YAML-конфиг; Гл.3: Эффективность — метрики: FPR, TPR, MTTR |
| **Государственные стандарты в защите DNS: от ГОСТ Р 51924 до ISO/IEC 25010** | В статье упоминается, что в РФ требования к DNS-инфраструктуре регулируются ГОСТ Р 51924-2012 (безопасность сетей) и ГОСТ Р 52733-2007 (криптографические алгоритмы). | Привести проект в соответствие с нормативными актами. | 1. Сопоставить требования ГОСТ и ISO/IEC 25010 с архитектурой, 2. Подготовить ТЗ по ГОСТ 34.19, 3. Провести аудит соответствия, 4. Документировать выводы. | Гл.1: Нормативная база; Гл.2: Проектирование с учетом требований; Гл.3: Аудит и заключение |
> 💡 *Примечание:* Все темы можно развить в рамках одного проекта — например, «Безопасный DNS-инжиниринг для платформы государственных услуг», где первая тема — архитектура, вторая — мониторинг, третья — сертификация.
---
## Основная часть
### 1. Почему DNS — не «простой» компонент, а критическая зона
Согласно статье, атака начиналась с запроса `getuser..com`, который был перенаправлен на внутренний IP. Это — классический пример **«обмана разрешения»**. В дипломе важно показать, что:
- DNS — не только «интернет-адрес», но и **источник идентификации**, который может быть использован для:
- Фишинга (подмена домена)
- Туннелирования (через TXT/AAAA-запросы)
- Бесплатного доступа к API (через поддомены без проверки)
#### Как вписать в главу 1 (Теория):
- Сделайте сравнение: *«DNS в 2026 году — не просто таблица A/AAAA, а часть цепочки доверия, аналогичной TLS-сертификатам»*.
- Добавьте диаграмму C4 уровня **«Пользователь → DNS-резолвер → API-сервис»**, где в резолвере добавьте слой *«Фильтрация по шаблонам»*.
#### Как вписать в главу 2 (Проектирование):
- Реализуйте **CoreDNS + plugin `forward` + `log` + `metrics`**.
- Пример конфигурации (`corefile`):
```text
.:53 {
errors
log
health
forward . /etc/resolv.conf
# Кастомная фильтрация
rewrite name regex (.*)\.example\.com example.com
# Блокировка по AS
block 10.0.0.0/8
block 172.16.0.0/12
block 192.168.0.0/16
}
```
> 📌 *Инструменты:* CoreDNS, BIND, Unbound, PowerDNS, dnsmasq, Cloudflare Gateway, AWS Route53 Resolver (включая DNSSEC).
---
### 2. Метрики, которые делают работу «видимой» на защите
Статья подчёркивает: **«Если вы не собираете метрики — вы не можете доказать, что защита работает»**. В дипломе это — ваша возможность продемонстрировать техническую зрелость.
| Метрика | Формула | Как собрать | Использование в ВКР |
|--------|---------|-------------|---------------------|
| **Rate of blocked queries** | `blocked / total` | `coredns_metrics` + Prometheus | Доказательство эффективности фильтрации |
| **Avg. latency per domain** | `sum(latency)/count` | `dnstap` + OpenTelemetry | Выявление подозрительных доменов |
| **TTL anomaly ratio** | `(abs(ttl - expected)) > 30%` | `dig +trace` + скрипт | Обнаружение DNS-туннелирования |
| **Anomaly score** | `log(1 + count_of_unusual_domains)` | Zeek + ML-модель (sklearn) | Автоматизация обнаружения |
> ✅ *Пример кода для сбора TTL-аномалий (Python):*
```python
import dns.resolver
from collections import defaultdict
def check_ttl_anomaly(domain):
try:
answers = dns.resolver.resolve(domain, 'A')
ttl_values = [a.ttl for a in answers]
mean = sum(ttl_values) / len(ttl_values)
std = (sum((x - mean)**2 for x in ttl_values) / len(ttl_values))**0.5
return max([abs(x - mean) / std for x in ttl_values]) > 2.5
except Exception as e:
return False
```
---
### 3. Отражение в тестировании и документации
В главе 3 (Тестирование) обязательно:
- Добавить **сценарий «DNS-фильтрация»** в тест-план (например, `test_dns_block.py`)
- Проверить, как система реагирует на:
- `nslookup malicious-domain.com`
- `dig @127.0.0.1 malicious-domain.com ANY`
- `curl -H "Host: malicious-domain.com" http://localhost:8080`
> 🔍 *Как оформить схему?*
> Используйте **UML-диаграмму активности** для процесса «Запрос → Резолвинг → Фильтрация → Ответ».
> Или **C4-уровень 2**: «Контекстный уровень» — пользователь → DNS-резолвер → API-сервис.
---
## Чему вы научитесь
1. **Проектировать отказоустойчивые DNS-схемы** с учётом OWASP ASVS и ISO/IEC 25010 (надёжность, безопасность).
2. **Настроить мониторинг на основе OpenTelemetry** — собирать метрики, логи, трейсы из CoreDNS.
3. **Разрабатывать правила фильтрации** в Suricata/Zeek и интегрировать их в CI/CD.
4. **Оформлять ТЗ по ГОСТ 34.19** и проводить аудит соответствия ГОСТ Р 51924.
5. **Считать TCO и ROI** для DNS-защиты — например, снижение числа инцидентов на 60% при внедрении блокировки по AS.
---
## Типичные ошибки студентов
.com`, затем фильтруйте их. Можно использовать `dnstap` для записи всех запросов в файл — потом загрузите в Grafana. Это соответствует ГОСТ Р 52733-2007 (использование симуляций допустимо при отсутствии реальных данных).
---
## Чек-лист «Что проверить перед сдачей»
Ошибка 1: Указание только «DNS-сервер должен быть защищён» без конкретики — нет ни метрик, ни сценариев, ни инструментов.
→ Что делать? Вставьте в главу 2 — скриншоты конфигов, графики из Prometheus, список правил в Suricata.
Ошибка 2: Игнорирование ГОСТ Р 51924 и ISO/IEC 25010 — работа выглядит как «обычная реализация», а не как безопасное решение. → Что делать? Добавьте таблицу соответствия: «ГОСТ Р 51924, п. 5.3.2» → «Фильтрация по IP-блокам».
---
## FAQ
Ошибка 2: Игнорирование ГОСТ Р 51924 и ISO/IEC 25010 — работа выглядит как «обычная реализация», а не как безопасное решение. → Что делать? Добавьте таблицу соответствия: «ГОСТ Р 51924, п. 5.3.2» → «Фильтрация по IP-блокам».
1. Как выбрать стек для DNS-защиты в дипломе? Неужели я должен использовать CoreDNS?
Нет — но CoreDNS — лучший выбор для учебного проекта. Он легкий, open-source, хорошо интегрируется с Kubernetes и Prometheus. Если вы используете Docker Compose — запустите его как `coredns:latest` + `forward` plugin. Для более сложного варианта — можно взять BIND + custom script на Python. Главное — чтобы были метрики и логи.2. Что делать, если вуз требует «реальные данные»? Где взять?
Возьмите симуляцию: генерируйте DNS-запросы через `dig +trace` на доменах типа `test-3. Как оформить схемы, если нет SVG-поддержки?
Используйте ASCII-диаграммы или текстовое описание. Например: ``` [Пользователь] --(DNS query)--> [CoreDNS] --(filter)--> [API] ↑ (block: 10.0.0.0/8) ``` Для C4 — сделайте вручную в Draw.io, экспортируйте как PNG, вставьте в Word. Важно — подписывайте каждый слой: «Уровень 2: Фильтрация по AS».4. Как считать эффективность, если нет реальных инцидентов?
Используйте **метрики обнаружения** — например, количество «подозрительных» запросов, которые были заблокированы. В дипломе можно сказать: «При тестировании на 1000 запросах — 3% были заблокированы как потенциально опасные». Это — основа для выводов.
✅ Есть ли ссылка на статью SecurityLab в главе 1?
✅ Все метрики (rate, latency, anomaly score) описаны в главе 3?
✅ Схемы C4/UML имеют подписи и отражают слой «фильтрация»?
✅ В ТЗ указано соответствие ГОСТ Р 51924 и ISO/IEC 25010?
✅ Нет клише «в современном мире», «актуальность обусловлена»?
✅ Уникальность — проверено через Plagiarism.ru (минимум 90%)?
✅ Приложения (скрипты, конфиги) — в приложении, с комментариями?
---
Если вы хотите получить **бесплатную 120-часовую консультацию** по теме вашего ВКР — от нашей команды экспертов, мы поможем: от выбора стека до оформления по ГОСТ. Без рекламы, без «помощи с дипломом» — только техническая поддержка.
Источник: DNS как точка входа атак: почему поиск адреса решает исход защиты (опубликовано 2026-03-13)