DNS, acrónimo de Domain Name System, es un componente crucial en el funcionamiento de Internet y sin duda de gran importancia en el correcto flujo de comunicaciones en red. INTECO publica una guía en formato PDF orientada a usuarios técnicos para ofrecer un documento de referencia del protocolo DNS, incluyendo los aspectos relacionados con la seguridad del servicio , describiendo las líneas base para su implementación y bastionado.





Gracias a DNS, se facilita el manejo de las comunicaciones entre los elementos de internet dotados de dirección IP. DNS mantiene y distribuye globalmente de forma jerárquica una “base de datos” donde se asocian nombres a direcciones IP y a la inversa de forma que sea mucho más sencillo de recordar y manejar por las personas.

Esta misión de DNS, en apariencia básica, conlleva una importante responsabilidad al constituir una base en las comunicaciones IP, por ello es de vital importancia mantener el sistema preparado para prevenir y contrarrestar las amenazas existentes contra este servicio. DNS por su extensión y diseño, está expuesto a numerosas amenazas, cuyos paradigmas fundamentales son, entre otros, denegaciones de servicio DoS por ataques de amplificación DNS , secuestro de dominios para redireccionar tráfico a sitios maliciosos, o envenenamiento de caché DNS de servidores para provocar resoluciones manipuladas de los dominios atacados.

Con esta idea en mente, INTECO publica una guía orientada a usuarios técnicos para ofrecer un documento de referencia del protocolo DNS, incluyendo los aspectos relacionados con la seguridad del servicio , describiendo las líneas base para su implementación y bastionado.

En esta guía se puede encontrar, además de una visión completa de los elementos que integran el servicio y el entorno DNS, una descripción detallada de la base funcional del protocolo y sus componentes de seguridad. Concretamente, en el ámbito de la seguridad, se ofrece una explicación de las vulnerabilidades y principales amenazas que afectan al protocolo y se aportan indicaciones para su mitigación y/o mitigación tanto a nivel genérico, como específicamente para el software BIND9 de Internet System Consortium, el más extendido y utilizado en servidores DNS.

En la guía se incluyen las siguientes secciones:

• Fundamentos de DNS: donde se explican los conceptos, objetivos y funcionamiento de un sistema DNS.
• Seguridad en DNS: a partir en un escenario típico DNS se identifican los posibles vectores de ataque y los activos afectados
• Vulnerabilidades y amenazas en DNS (Dns Cache, DNS Poisoning y DNS Hijacking): incluyendo las debilidades intrínsecas al diseño del protocolo DNS y los principales ataques que sacan partido de la las mismas.
• Bastionado DNS (Chroot, logging): detalle de las medidas de seguridad a implementar en los tres grandes superficies de ataque del servicio DNS: Infraestructura del servicio DNS, Comunicaciones y transacciones y Datos.
• DNSSEC: introducción, uso y funcionamiento.
• Ejemplos prácticos del uso de DIG

La guía está disponible en el siguiente enlace:

•   Guia de seguridad en servicios DNS

Algunas de las medidas comentadas en INTECTO ya fueron tratadas en el blog en las entradas:

• Seguridad DNS en Bind
• DNS Caching (Caché DNS)
• Medir la velocidad de las DNS

 CONCEPTOS CLAVE

• Resolver: Un cliente DNS que se encarga de componer y mandar los mensajes DNS a los servidores para obtener la información requerida sobre el dominio deseado.
• Open resolver: Servidor que ofrece servicio DNS recursivo accesible públicamente a cualquier cliente (resolver) que lo solicite.
• Recursión: Las acciones que un servidor DNS toma para entregar la información solicitada a un resolver preguntando a otros servidores.
• Servidor Autoritativo: El servidor DNS que mantiene, distribuye y responde a solicitudes DNS consultando la información almacenada en sus registros, en inglés, Resource Records (RRs). Puede ser primario o secundario.
• Servidor Autoritativo Master (Primario): Es el servidor DNS autoritativo que contiene almacena las versiones definitivas de los registros que administra.
• Servidor Autoritativo Stealth (Oculto): Servidor autoritativo primario para algunas zonas pero que no aparece en los registros NS de las mismas. El objeto es mantenerlo oculto a consultas tipo NS, que puede ser útil por ejemplo para servidores internos.
• Servidor Autoritativo Esclavo (Secundario): Es el servidor DNS autoritativo que almacena una copia de los registros administrados por el servidor Master. Cuando algún cambio se ha producido en los registros del servidor master o primario, es notificado a los esclavos que solicitan e inician una transferencia de zona.
• Servidor DNS caché (resolver recursivo): Es un servidor DNS intermediario que obtiene la respuesta a solicitudes DNS, consultando servidores autoritativos, y la almacena en caché para tenerlas disponibles y servirlas a clientes (resolvers). Su función es mejorar el rendimiento de las respuestas y contribuir a reducir la carga de tráfico DNS en internet.
• Zona: Base de datos que un servidor autoritativo contiene sobre un conjunto de dominios.
• Transferencia de Zona: Comunicación (transacción) entre servidores DNS para la replicación de los contenidos de zona entre ellos. Es una comunicación cliente-servidor TCP con en dos tipos: completa (AXFR) o incremental (IXFR, para actualizar de cambios).
• FQDN: Fully Qualified Domain Name. Es el nombre absoluto y completo que identifica un recurso en la base de datos distribuida del espacio DNS.
• Registro DNS ó RR: Resource Record. Contiene la información de un registro DNS que se envía en los mensajes DNS. Tabla 1. Formato de registro. Resource Record (RR). Compuesto por seis campos: NAME, TYPE, CLASS, TTL, RDLENGTH y RDATA
• Mensaje DNS: Estructura diseñada para la comunicación IP entre los integrantes del espacio DNS y transmitir información. Se compone de 5 campos: HEADER, QUESTION, ANSWER, AUTHORITY y ADDITIONAL. SEGURIDAD EN DNS.

Tipos de Registros DNS

El campo TYPE contiene un código que identifica de qué tipo de registro se trata. Existen multitud de tipos de registros definidos en distintos RFCs2 TIPO (valor campo TYPE) para cubrir otras tantas funcionalidades. Algunos de los tipos más comunes se muestran en la siguiente tabla:
Función
A = Address – (Dirección)
Traduce (resuelve) nombres de recursos a direcciones IPv4
AAAA = Address – (Dirección)
Traduce (resuelve) nombres de recursos a direcciones IPv6
CAA = Certification Authority Authorization