El sistema de nombres de dominio (DNS) es el sistema de nombres distribuido de internet que traduce nombres de dominio legibles, como example.com, a las direcciones IP que usan los equipos para conectarse.
Cómo funciona el DNS
Paul Mockapetris diseñó el DNS en 1983, y se especifica en los RFC 1034 y 1035. Cuando un usuario abre un sitio web, el dispositivo pregunta a un resolutor recursivo (normalmente del proveedor de internet, de la empresa o un servicio público). El resolutor consulta la jerarquía (servidores raíz, servidores de dominios de primer nivel como .com y, por último, los servidores de nombres autoritativos del dominio) y guarda la respuesta en caché durante el tiempo fijado en su TTL. Los tipos de registro habituales son A y AAAA (direcciones IPv4/IPv6), MX (servidores de correo), CNAME (alias), NS y TXT (usado para SPF, DKIM y DMARC). El DNS clásico funciona sin cifrar sobre el puerto 53 UDP y TCP.
Por qué importa el DNS para la seguridad
Casi toda conexión empieza con una consulta DNS, así que controlar el DNS significa controlar adónde llegan los usuarios:
- Envenenamiento de caché DNS: respuestas falsas almacenadas por los resolutores; el hallazgo de Dan Kaminsky en 2008 demostró lo práctico que era.
- Secuestro de DNS: modificación de registros o de la configuración del resolutor; la campaña Sea Turtle, revelada en 2019, redirigió así dominios de gobiernos y empresas.
- Tunelización DNS: el malware oculta tráfico de comando y control y robo de datos dentro de consultas DNS (MITRE ATT&CK T1071.004).
- DDoS: el ataque DDoS de la botnet Mirai contra el proveedor de DNS Dyn en 2016 dejó inaccesibles grandes sitios web; los resolutores abiertos también se usan para amplificación.
Cómo proteger el DNS
- Firmar las zonas y validar las respuestas con DNSSEC (RFC 4033–4035).
- Bloquear los dominios en el registrador y proteger las cuentas del registrador con MFA.
- Registrar y analizar las consultas DNS para detectar tunelización y dominios maliciosos, y usar filtrado DNS de protección.
- Cifrar las consultas con DNS over TLS o DNS over HTTPS cuando proceda.
