Notes

DNS-blockering: Fem kritiska misstag som kringgås på sekunder
==================================================

För en djupare genomgång, se se här: https://graph.org/DNS-blockering-Vanliga-misstag-och-hur-du-undviker-dem-06-12.

# DNS-blockering: Fem kritiska misstag som kringgås på sekunder

DNS-blockering är en elegant idé: genom att ändra en domäns IP-adress på DNS-servern kan du omdirigera trafik, blockera webbplatser eller hindra anslutningar till skadlig kod. Men i praktiken är det betydligt svagare än det verkar. För att förstå varför måste vi först se hur det faktiskt fungerar.

## Hur DNS-blockering fungerar (och varför det inte är säkerhet)

När du besöker en webbplats skickar din dator en fråga till en DNS-server: "Vad är IP-adressen för example.com?" Servern svarar med en IP-adress. En DNS-blockering innebär att servern svarar med en felaktig IP-adress — ofta 0.0.0.0 eller adressen till en blokkerad-sidan. Din dator kan inte ansluta, och webbplatsen öppnas inte.

Problemet är fundamentalt: DNS-blockering är förhandlingsbaserad, inte faktisk säkerhet. Din enhet *frågar* vad IP-adressen är, och den får ett svar. Men om enheten inte litar på svaret — eller tar vägen runt att fråga — blir blockeringen värdelös.

## Misstag 1: Tro att blockering på DNS-nivå hindrar motiverade användare

Detta är det största misstaget som organisationer gör. DNS-blockering motsvarar ett påhopp på en väg — det hindrar fotgängare men inte någon med en egen karta. En användare som vill komma åt en blockerad webbplats kan enkelt ändra sin DNS-server. Istället för att använda organisationens DNS (exempelvis 10.0.0.1) kan de byta till Cloudflare (1.1.1.1), Google (8.8.8.8) eller en VPN. DNS-servern ändras genom tre klick i nätverksinställningar. Blockeringen försvinner omedelbar.

För föräldrakontroll eller ISP-nivå-blockering är detta faktum av Högsta vikt. En tonåring som vill komma åt något kan byta DNS-server på sin telefon på mindre än en minut. Samma gäller anställda som vill kringgå företagets webbfilter.

## Misstag 2: Implementera DNS-blockering utan att blockera alternativa DNS-servrar

Om du vill att DNS-blockering ska ha någon effekt måste du förhindra att enheter använder externa DNS-servrar. Det kräver nätverkskonfiguration — routing-regler som blockerar UDP-port 53 (DNS) och TCP-port 53 för all trafik som inte går till din egen DNS. Utan detta är blockeringen en gummivägg.

Men även detta är enkelt att kringgå. En användare kan köra DNS över HTTPS (DoH) eller DNS över TLS (DoT), vilket gömmer DNS-frågorna inuti krypterad trafik på port 443 eller 853. En annan väg är att använda en VPN — som krypterar all trafik och ligger bortom din nätverk-åtkomst.

## Misstag 3: Förlita dig på DNS-blockering för säkerhet mot malware

Många säkerhetslösningar använder DNS-blockering för att hindra enheter från att kontakta kända malware-servrar (C&C-servrar). Detta är användbart för att förhindra *oavsiktlig* exponering, men det är inte ett försvar.

En sofistikerad attack använder varje gång en ny domän eller låter malwaren lösa domäner i realtid genom att köra sin egen DNS-resolver inuti koden. Den kan även låta enheten ansluta direkt till en IP-adress, och hoppa över DNS helt. DNS-blockering skyddar mot ålder-gamla, allmänt kända botnätverk. Det skyddar inte mot målstyrda attacker.

## Misstag 4: Ignorera att DNS-blockering lämnar server-sidiga loggar

Om du blockerar DNS-frågorna på klientsidan tror du kanske att frågorna försvinner. De gör det inte. Den enheten skickar fortfarande anslutningsförsök till IP-adressen (eller felmeddelanden när anslutningen misslyckas). En server kan logga alla TCP-anslutningsförsök, oavsett om DNS-svar var korrekt. Dessutom kan attacker använda DNS-över-HTTPS för att kryptera sina frågorna från ditt nätverk — men servern mottar fortfarande anslutningen.

DNS-blockering är därför inte för integritet. Det är för enkla, övervakas låga-skikt-blockering, inget mer.

## Misstag 5: Implementera DNS-blockering utan fullständig inventering

En vanlig implementation av DNS-blockering är en dold blockeringslista. Men varje gång du lägger till en domän måste du också lägga till dess undermänen, relaterade tjänster och CDN-hosting. Exempelvis kan en webbplats serveras från tjugo olika IP-adresser från Cloudflare. Att blockera domänen hjälper inte om servern också är nåbar direkt från dess IP.

Samma problem uppstår med CNAME-kedjor (när en domän pekar till en annan domän). Om du blockerar example.com men inte its-alias.cdn-provider.com, försvinner blockeringen.

## Varför det är så enkelt att kringgå

DNS-blockering är svagt eftersom det är arkitektoniskt öppet. En enhet som frågar "vad är IP-adressen?" kan ignorera svaret, fråga någon annan, eller ta vägen helt. Blockering på DNS-nivå motsvarar att göra en symbol-tabell oåtkomlig — men du kan fortfarande leta upp variabeln via minnetadressen.

Den rätta användningen av DNS-blockering är enkel filtrering för oönskad trafik i hemmanätverk, eller föräldrakontroll för små barn. För något annat — säkerhet, integritet, eller att hindra motiverade användare — är det väsenligt att kombinera det med andra kontroller: nätverksisolation, utgångsport-filtrering, DLP-verktyg, och övervakning.

DNS-blockering är ett verktyg. Använt korrekt är det lämpligt. Använt som säkerhet i sig självt är det en illusion.

### Misstag 6: Fokusera på blockering istället för övervakning

Många organisationer gör ett kritiskt val: de lägger stor vikt på att *blockera* istället för att *övervaka*. DNS-blockering är synlig och verkar verkningsfullt — men den är ofta bara teater. En bättre strategi är att logga all DNS-trafik, oavsett om du blockerar den eller inte, och leta efter mönster som indikerar skadlig aktivitet.

En enhet som försöker ansluta till känd malware-domäner hundra gånger på en minut är misstänkt, oavsett om DNS-svaret är blockerat. En anställd som använder DoH för att dölja sin DNS-trafik från företagsnätverket är redan ett rödljus. Övervakning fångar dessa mönster; blockering döljer dem bara.

### Real-världsexempel: Varför ISP-blockering misslyckas

I Storbritannien använder många ISP:er DNS-blockering för att stoppa fildelning och pornowebbplatser. Studier visar att över 80 procent av användare enkelt kringgår dessa block genom att byta DNS-server. Blockeringen är inte en säkerhetsfunktion — det är en symbol.

Samma gäller för föräldrakontroll-applikationer. De blockerar DNS-nivå trafik tills en tonåring kör ett VPN eller använder sitt mobilnätverk istället. Då försvinner all kontroll helt.

### Den rätta vägen: Lagranivå-kontroller

Om du verkligen vill kontrollera nätverk måste du arbeta på applikationsnivå. Man kan implementera proxy-servrar som inspekterar all HTTP/HTTPS-trafik, inte bara DNS-frågorna. Man kan använda TLS-interception för att se vart enheterna försöker ansluta, även genom VPN.

Men detta har en kostnad: det kräver signifikant resurser, det bryter kryptering (vilket kan vara juridiskt tveksamt), och det är långt mer invasivt än DNS-blockering.

Det är därför organisationer använder DNS-blockering trots dess svagheter. Det är billigt, lätt att implementera, och det *ser* ut som om det fungerar. Men det är inte säkerhet. Det är en stativ-övning.

Läs vidare: rekommenderad artikel: https://graph.org/DNS-blockering-Vanliga-misstag-och-hur-du-undviker-dem-06-12.

---
se här: https://graph.org/DNS-blockering-Vanliga-misstag-och-hur-du-undviker-dem-06-12