Il Sistema dei Nomi di Dominio (DNS) \u00e8 un componente critico di Internet. Il suo ruolo \u00e8 convertire i nomi di dominio negli indirizzi IP utilizzati per instradare il traffico di rete verso la destinazione prevista. Il ruolo vitale del DNS e la mancanza di sicurezza integrata per impostazione predefinita lo rendono un obiettivo comune per i criminali informatici. Gli aggressori possono mirare al DNS con attacchi di negazione del servizio (DoS) per rendere i siti irraggiungibili o sfruttare le lacune di sicurezza del DNS per perseguire i propri obiettivi.<\/p>\n\n\n\n
Gli indirizzi IP che i computer utilizzano per identificarsi a vicenda sono difficili da ricordare, motivo per cui esistono i nomi di dominio. Il ruolo del DNS \u00e8 convertire tra un nome di dominio memorabile, come catonetworks.com, e un indirizzo IP, come 45.60.110.90.<\/p>\n\n\n\n
Il DNS \u00e8 uno dei protocolli fondamentali di Internet, sviluppato prima che la sicurezza diventasse una preoccupazione urgente. Per questo motivo, le query e le risposte DNS mancano di crittografia e autenticazione per impostazione predefinita. Il ruolo importante del DNS e la mancanza di crittografia e autenticazione lo rendono un obiettivo privilegiato per gli aggressori. Poich\u00e9 l’intero Internet utilizza e si fida del DNS, un attacco che lo sfrutta pu\u00f2 avere ripercussioni significative.<\/p>\n\n\n\n
Gli attacchi al DNS sono una comune minaccia alla sicurezza della rete<\/a> a causa del suo ruolo vitale e della debole sicurezza. Alcune delle minacce di sicurezza pi\u00f9 comuni associate al DNS includono le seguenti:<\/p>\n\n\n\n I risolutori DNS memorizzano comunemente nella cache i record DNS pi\u00f9 frequentemente accessibili, migliorando la velocit\u00e0 e riducendo il carico sui server DNS. In un attacco di avvelenamento della cache DNS, l’aggressore sfrutta la mancanza di crittografia e autenticazione del DNS per iniettare voci DNS false nella cache di un risolutore. Di conseguenza, gli utenti che richiedono questi record DNS riceveranno un indirizzo IP specificato dall’aggressore, reindirizzandoli a un sito malevolo.<\/p>\n\n\n\n Lo spoofing DNS \u00e8 una categoria ampia di attacchi DNS che include il poisoning della cache DNS. In un attacco di spoofing DNS, l’attaccante impersona un server DNS e modifica i record DNS con l’intento di reindirizzare il traffico.<\/p>\n\n\n\n L’hijacking DNS \u00e8 una classe generale di attacchi che comporta il reindirizzamento degli utenti a un sito malevolo modificando il modo in cui vengono risolte le query DNS. Lo spoofing e il poisoning della cache sono tipi specifici di attacchi di hijacking, ma un attaccante pu\u00f2 anche manipolare le risoluzioni DNS tramite malware, router compromessi e altri mezzi.<\/p>\n\n\n\n Gli attacchi di amplificazione DNS sono un tipo di attacco DoS che sfrutta i resolver DNS aperti e il fatto che le risposte DNS sono (spesso significativamente) pi\u00f9 grandi della query associata. In un attacco di amplificazione DNS, l’attaccante invia una query DNS a un resolver aperto con l’indirizzo IP sorgente impostato su quello del bersaglio. Questo fa s\u00ec che il resolver invii la risposta al bersaglio previsto, che riceve molti pi\u00f9 dati di quelli inviati dall’attaccante. Con molti resolver aperti e record DNS con risposte molto pi\u00f9 grandi delle richieste, un attaccante pu\u00f2 lanciare un attacco DoS su larga scala utilizzando solo una frazione della larghezza di banda del sistema bersaglio.<\/p>\n\n\n\n I record DNS pendenti esistono quando un’organizzazione ha registrato un dominio con un server DNS e successivamente dismette quella risorsa. Un attaccante potrebbe essere in grado di prendere il controllo dell’indirizzo IP associato o del nome di dominio completamente qualificato (FQDN), potenzialmente rivendicandolo con un fornitore di cloud dopo che il bersaglio lo rilascia. Se cos\u00ec fosse, il traffico verso il sottodominio elencato nell’entry DNS sar\u00e0 reindirizzato al sito dell’attaccante.<\/p>\n\n\n\n Lo shadowing del dominio creer\u00e0 sottodomini malevoli sotto un dominio radice legittimo che \u00e8 stato compromesso da un attaccante. Facendo ci\u00f2, l’attaccante crea un sottodominio difficile da rilevare che sfrutta la reputazione del dominio radice legittimo. Questo sottodominio pu\u00f2 quindi essere utilizzato in attacchi di phishing o come infrastruttura di comando e controllo (C2) per malware con un rischio ridotto di rilevamento o di essere bloccato da un’organizzazione.<\/p>\n\n\n\n Gli attacchi NXDOMAIN sono un tipo di attacco DoS progettato per bypassare la cache per sopraffare un server DNS. L’attaccante effettua una serie di richieste per sottodomini inesistenti, che non esisteranno nella cache di un risolutore. Di conseguenza, l’attacco verr\u00e0 inoltrato al server di origine per la risoluzione, consumando risorse e degradando la capacit\u00e0 del server di rispondere a richieste legittime.<\/p>\n\n\n\n I risolutori DNS svolgono un ruolo critico nel ricevere le query DNS degli utenti, effettuando query successive ai server DNS e restituendo un risultato. Un risolutore DNS malevolo pu\u00f2 monitorare le richieste DNS di un utente e fornire informazioni errate che indirizzano gli utenti a pagine di phishing. Gli utenti possono essere indirizzati a un risolutore DNS malevolo tramite avvelenamento DHCP o malware.<\/p>\n\n\n\n In un attacco di DNS rebinding, un server DNS controllato dall’attaccante risponder\u00e0 inizialmente a una richiesta DNS con l’indirizzo IP di un sito che serve codice malevolo, ma specificando un valore di tempo di vita (TTL) molto breve. Quando il TTL scade, il browser dell’utente effettuer\u00e0 un’altra richiesta, a cui il server DNS malevolo risponder\u00e0 con l’indirizzo IP di una risorsa interna. Di conseguenza, il dominio potrebbe essere considerato parte della rete interna, consentendo al codice malevolo di eludere la politica di stessa origine (SOP) e accedere a risorse interne.<\/p>\n\n\n\n Gli attacchi di typosquatting e homograph comportano la creazione di domini malevoli che somigliano da vicino a quelli legittimi. Se un utente digita erroneamente un URL o clicca su un link in un’email di phishing, verr\u00e0 indirizzato a un sito web controllato dall’attaccante. Spesso, questo viene utilizzato per il furto di credenziali se l’utente inserisce le proprie credenziali nel sito di phishing.<\/p>\n\n\n\n Alcune best practices per la sicurezza della rete<\/a> per proteggere contro le minacce DNS comuni includono:<\/p>\n\n\n\nAvvelenamento della cache DNS<\/h3>\n\n\n\n
Spoofing DNS<\/h3>\n\n\n\n
Hijacking DNS<\/h3>\n\n\n\n
Attacchi di Amplificazione DNS<\/h3>\n\n\n\n
Record DNS Pendenti<\/h3>\n\n\n\n
Shadowing del Dominio<\/h3>\n\n\n\n
Attacchi NXDOMAIN (Attacchi a Dominio Fantasma)<\/h3>\n\n\n\n
Risolutori DNS malevoli<\/h3>\n\n\n\n
DNS Rebinding<\/h3>\n\n\n\n
Attacchi di Typosquatting e Homograph<\/h3>\n\n\n\n
Migliori Pratiche per la Sicurezza DNS<\/h2>\n\n\n\n
\n
Integrare la Sicurezza DNS in un Framework SASE<\/h2>\n\n\n\n