DNSセキュリティとは？保護DNSの種類（保護DNS型・SSE一体型・ファイアウォール連動型・クラウド基盤型）と、価格・SWGとの違い

この記事の答え

DNSセキュリティは、ドメイン名を調べる段階で、危ない宛先への通信を止めるサービスです。保護DNSやDNSファイアウォールとも呼びます。DNSの宛先を替えて始めるなら保護DNS型、Web対策もまとめて替えるならSSE・SWG一体型、NGFWがあるならファイアウォール連動型、AWSのVPCならクラウド基盤型です。

DNSセキュリティとは

DNSセキュリティは、端末やサーバーが出すDNSの問い合わせを見て、危ないドメインへの接続を始まる前に止めるサービスです。フィッシングサイトへのアクセスや、マルウェアがC2へつなぐ通信を、この段階で止めます。

比較ページには、自社のブランドで提供し、日本語の公式ページと日本の拠点を確かめられた会社の製品を載せています。自社ドメインのDNSを預かるサービスや、他社の基盤を使うサービスは載せていません。

4つの種類

保護DNS型：DNSの問い合わせ先をクラウドへ替える型です。例はCisco Secure Access DNS Defense、Infoblox Threat Defense、Sophos DNS Protectionです
SSE・SWG一体型：SSEやSWGの基盤でDNSも検査する型です。例はCloudflare Gateway、Zscaler DNS Securityです
ファイアウォール連動型：今のファイアウォールにサブスクリプションで足す型です。例はAdvanced DNS Security、FortiGuard DNSフィルタリングサービスです
クラウド基盤型：クラウドの仮想ネットワークから出る問い合わせを止める型です。例はRoute 53 Resolver DNS Firewallです

SWGとの違い

DNSセキュリティはドメイン名を調べる段階で止めます。通信の中身は見ません
SWGはWebの通信そのものを検査します。URLの細かい制御はSWGの役目です
Cloudflare Gatewayは、DNSとHTTPのフィルタリングを同じサービスで扱います

DNSトンネルと暗号化DNS

Zscaler DNS Securityは、専用の検出エンジンでDNSトンネルを止めます
Infoblox Threat Defenseは、問い合わせの動きからDNSトンネルを検出します
FortiGuard DNSフィルタリングサービスは、DoTとDoHを検査します
Sophos DNS Protectionは、どちらのライセンスにもDNS over HTTPSが入っています

価格

Cloudflare Gatewayは、50ユーザー未満がFreeプランで0ドル、従量課金制は1ユーザー月7ドル（年払い）⁠で⁠⁠⁠⁠す
Route 53 Resolver DNS Firewallは、最初の10億件は100万件のクエリあたり0.60ドルです
ほかの製品は公式に価格を出していません。見積もりをとって比べます

選ぶときの順番

同じメーカーのNGFWがあれば、まずファイアウォール連動型を見ます
Web対策も替えるなら、SSE・SWG一体型を見ます
ソフトを入れられない機器があれば、保護DNS型を見ます
AWSのサーバーを守るなら、クラウド基盤型を足します