Seguridad DNS Gabriel Montas Len Vulnerabilidades amenazas y

Seguridad DNS Gabriel Montañés León

Vulnerabilidades, amenazas y ataques § El sistema de nombres de dominio (DNS, Domain Name System) se diseñó originalmente como un protocolo. Antes de considerar qué características de seguridad utilizar, deberá conocer las amenazas comunes para la seguridad DNS y los niveles de seguridad DNS de su organización.

Amenazas y ataques § La ocupación es el proceso mediante el cual un intruso obtiene los datos de zona DNS para obtener los nombres de dominio DNS, nombres de equipo y direcciones IP de recursos de red importantes. Un intruso suele empezar un ataque utilizando estos datos DNS para obtener un diagrama u ocupación, de una red. Los nombres de equipo y dominio DNS suelen indicar la función o ubicación de un dominio o equipo para ayudar a los usuarios a recordar e identificar los dominios y equipos con mayor facilidad. Un intruso se aprovecha del mismo principio DNS para aprender la función o ubicación de dominios y equipos en la red. § Un ataque por servicio denegado se produce cuando un intruso intenta denegar la disponibilidad de los servicios de red desbordando uno o varios servidores DNS de la red consultas recursivas. Cuando un servidor DNS se desborda consultas, el uso de la CPU alcanzará su nivel máximo y el servicio del Servidor DNS dejará de estar disponible. Sin un servidor DNS completamente operativo en la red, los servicios de red que utilicen DNS dejarán de estar disponibles para los usuarios de la red.

§ La modificación de datos es un intento del intruso (que ha ocupado una red mediante DNS) de utilizar direcciones IP válidas en paquetes IP que ha creado él mismo, de manera que proporciona a estos paquetes la apariencia de proceder de una dirección IP válida de la red. Esto se denomina comúnmente IP ficticia. Con una dirección IP válida (una dirección IP dentro del rango de direcciones IP de una subred), el intruso puede tener acceso a la red y destruir datos o realizar otro tipo de ataque. § La redirección se produce cuando un intruso puede redirigir consultas de nombres DNS a servidores que él controle. Un método de redirección incluye el intento de contaminar la caché DNS de un servidor DNS con datos DNS erróneos que pueden dirigir consultas futuras a servidores que controle el intruso. Por ejemplo, si se realizó una consulta originalmente para ejemplo. microsoft. com y la respuesta de referencia proporcionó el registro de un nombre externo al dominio microsoft. com, como usuariomalintencionado. com, el servidor DNS utilizará los datos de la caché de usuario -malintencionado. com para resolver la consulta de dicho nombre. La redirección puede realizarse siempre que el intruso disponga de acceso de escritura a datos DNS, como ocurre, por ejemplo, con las actualizaciones dinámicas no seguras.

Mecanismos de seguridad § Proveer servicio de DNS redundante: esto significa colocar más de un solo servidor de DNS para la resolución de nombres dentro de su red esto puede implicar una mayor cantidad de recursos inicialmente pero la larga es la solución más eficaz y más escalable que se puede representar lo que en el caso de un servidor DNS caer, el servidor redundante o secundario a permitir la resolución de nombres de manera automática sin necesidad de intervención por parte del administrador. § Doble configuración del cliente: se recomiendan en cada uno de los clientes colocar dos direcciones para DNS una la del servidor de directorio activo, y la otra la de su proveedor de acceso Internet de esta manera está garantizando que su servicio de DNS va estar ciento por ciento activo, si no es de forma local de forma remota a través del sistema de su proveedor de acceso a Internet.

§ Instalar un servidor en su red perimetral: o red externa de DNS y otro para la red interna: esta estrategia le permite controlar el acceso a los recursos de forma interna y el forma externa en la red perimetral comprendida entre los algunos también conocida como red desmilitarizada (DMZ), así se van a resolver todos los requerimientos externos en la zona externa es decir todos aquellos que sobrepasen el ámbito de su red local bien sea por parte clientes internos o de clientes externos a la misma, mientras que el sistema de resolución de nombres para su red de área local va estar siendo respaldado por un servidor interno que eleva permitir mantener actualizado y seguro el esquema direcciones IP's sin tener consultas recursos externos. § Control de interfaces: Otra forma de limitar el acceso a su servidor de DNS es limitando el acceso a consultas por medio de el control de las interfaces de red, es decir, permitiendo la resolución de DNS sólo por una de las interfaces de su servidor de ésta manera la interfaz de la red interna hacerla que a permitir la resolución de nombres de dicha red mientras que la interfaz externa no a permitir resolución de nombres de tipo DNS.

§ Uso de directorio activo: Aunque es posible el footprint forma de la captura de tráfico de resolución, una un método mucho más eficiente para el atacante es interceptando el tráfico de replicación. Por medio de la captura de paquetes de tráfico de zonas § Limitar trafico por IP : Una forma de proteger las transferencia de zonas es especificando la IP de los servidores de DNS que participan en la transferencia de zonas esta manera usted puede limitar a dichos servidores el acceso replicación y un intruso va tener una labor mucho más difícil para lograr el acceso replicación. § Encriptar el trafico DNS: Aunque la técnica que fue prevenir el acceso transferencia de zona efectivamente no protegen los paquetes que están viajando hacia los servidores un intruso con un capturador de paquetes de sistemas de Windows pueda capturar los datos de transferencia de zona leer los y posiblemente modificarlos con herramientas más avanzadas se puede configurar su servidor DNS para Encriptar todo el tráfico utilizando protocolo de IPSec o la implementación de VPN de su sistema operativo.

§ Proteger el cache: Una estrategia adicional para prevenir el mal funcionamiento en su servidor DNS consiste en prevenir la corrupción del caché ésta se presenta por la manipulación parte de los intrusos de dicha información para su beneficio propio § Autorizar las actualizaciones dinámicas de DHCP: Asegura las actualizaciones dinámicas es otra labor bastante importante dentro del sistema, esas actualizaciones se realiza a través del sistema DHCP, el cual entregará direcciones de configuración inicial a los clientes para prevenir las actualizaciones dinámicas no autorizadas.