I controlli DNS sono policy e misure tecniche di protezione che governano il modo in cui i nomi host vengono risolti in indirizzi IP. Possono includere allowlist, domini bloccati, resolver di filtraggio, sinkholing e regole DNS split-horizon che restituiscono risposte diverse in base al contesto. In pratica, aiutano a decidere quali destinazioni sono raggiungibili e quali devono essere negate o reindirizzate.
Questi controlli sono importanti perché molti attacchi dipendono da software affidabile che effettua connessioni in uscita verso host scelti dall'attaccante. Nella server-side request forgery, nei callback del malware e nell'esfiltrazione dei dati, i controlli DNS possono bloccare una richiesta prima che raggiunga un servizio interno sensibile o un server esterno di command-and-control. I difensori dovrebbero considerare i controlli DNS come un livello, non come l'unico confine: validare le destinazioni nell'applicazione, imporre il filtering dell'egress a livello di rete e verificare il percorso effettivo del trasporto, perché alcuni client possono aggirare i controlli di risoluzione dei nomi tramite percorsi alternativi.