DNS Security 允许和警报操作DNS Security在PAN-OS10.0
12030
Created On 11/10/20 20:45 PM - Last Modified 03/02/23 05:48 AM
Symptom
- 试图配置一个DNS Security给定的动作DNS Security类别为“警报”，但“警报”选项不再存在。
- 试图压制一个DNS Security写入日志条目的类别，但配置的“允许”操作继续在威胁日志中生成日志条目。
Environment
- PAN-OS 10.0 或更高。
- DNS Security.
- 威胁日志。
Cause
传统上，“允许”操作意味着禁止写入威胁日志条目。
操作“允许”的行为已更改DNS Security在PAN-OS10.0如下：
- 如果为DNS SecurityCategory 和定义的 Action 是“allow”，它将运行传统的“alert”功能，导致写入具有所选 Log Severity 的 Threat 日志条目。
- 如果没有为DNS SecurityCategory（设置为“none”）且定义的Action为“allow”，将运行传统的“allow”功能，从而抑制威胁日志条目的写入。
Resolution
- 为给定的运行传统的“警报”操作DNS Security类别，将操作设置为“允许”，并指定所需的日志严重性。
- 禁止为给定的写入日志条目DNS Security类别，将操作设置为“允许”，并将日志严重性设置为“无”。
- "action= allow, 日志严重性设置DNS-Sec =defined" ==> 传统警报操作（写日志）
- "action= allow, 日志严重性设置DNS-Sec = none（未定义）” ==> 传统允许操作（无日志）
Additional Information
此行为更改仅影响DNS Security.
“帕洛阿尔托网络内容”的传统行动DNS签名不变。