Protección DNS

¿Qué es la protección DNS?

La protección DNS es el conjunto de controles que mantienen el Sistema de Nombres de Dominio fiable y disponible: proteger de manipulaciones los registros de su dominio, asegurar que los resolutores devuelvan respuestas auténticas, mantener los servidores de nombres en pie bajo carga y filtrar las consultas hacia dominios maliciosos conocidos. DNS traduce nombres como example.com en direcciones IP, así que si se secuestra, se envenena o no responde, los usuarios acaban en el servidor equivocado o en ninguno. Ninguna función lo cubre todo; cada control atiende un riesgo.

Qué puede salir mal

• Secuestro de DNS: un atacante cambia sus registros o la delegación de servidores de nombres, normalmente con un acceso robado al registrador o al proveedor DNS, y desvía el tráfico a sus propios servidores.
• Envenenamiento de caché: respuestas falsificadas se guardan en la caché de un resolutor y sus usuarios son enviados a la dirección equivocada hasta que caduca la entrada.
• Ataques a la disponibilidad: inundaciones de consultas saturan los servidores de nombres o se reflejan contra una víctima. Véanse ataques DDoS a DNS y ataques de amplificación DNS.
• Consultas maliciosas: usuarios o malware resuelven dominios de phishing, malware o de mando y control.
• Escucha: las consultas DNS en claro se pueden leer en la ruta de red.

Controles, y qué hace y qué no hace cada uno

Proteger la cuenta que edita sus registros

El aviso de CISA sobre el secuestro de infraestructura DNS recomienda cambiar las contraseñas de las cuentas que pueden modificar registros DNS, activar la autenticación multifactor en las cuentas del registrador, auditar los registros DNS públicos y buscar certificados emitidos para sus dominios (CISA AA19-024A). Un bloqueo de registro o de registrador añade protección frente a transferencias o cambios no autorizados.

DNSSEC

DNSSEC firma los datos DNS para que los resolutores que validan puedan comprobar de dónde procede una respuesta y que no se alteró (RFC 4033). También demuestra que un nombre no existe. No ofrece confidencialidad, y la RFC 4033 afirma que no protege contra ataques de denegación de servicio. Tampoco impide el secuestro mediante una cuenta robada, porque el atacante puede publicar registros firmados válidos.

DNS cifrado (DoH y DoT)

DNS sobre HTTPS (RFC 8484) y DNS sobre TLS (RFC 7858, puerto 853) cifran las consultas entre el cliente y su resolutor, lo que evita la escucha y la manipulación en la ruta. Por sí solos no validan la respuesta: la RFC 8484 señala que DoH no proporciona integridad de la respuesta y que DNSSEC es un mecanismo aparte. El operador del resolutor sigue viendo sus consultas.

Endurecer el resolutor

Si ejecuta un resolutor recursivo, no lo deje abierto a todo internet. La RFC 5358 describe cómo evitar que los servidores recursivos con configuración por defecto se usen como reflectores en ataques de denegación de servicio. Limite la recursión a sus propios clientes y aplique limitación de tasa de respuestas en los servidores autoritativos.

Disponibilidad de su propia zona

Use al menos dos servidores de nombres en redes separadas, idealmente con un proveedor que los reparta en varias ubicaciones, y fije los TTL con criterio: lo bastante cortos para cambiar rápido y lo bastante largos para soportar un fallo del proveedor. El enfoque general se trata en cómo detener los ataques DDoS.

Filtrado DNS protector

Un resolutor con filtrado bloquea las consultas a dominios conocidos por phishing o malware. Reduce la exposición de los usuarios, pero no hace nada por la integridad de su propia zona.

Ejemplo

Una empresa activa MFA y un bloqueo de registrador, firma su zona con DNSSEC, usa dos proveedores autoritativos independientes y configura una alerta ante cualquier cambio en sus registros A y MX. Si roban una contraseña, el bloqueo y la alerta reducen la ventana. Si un proveedor sufre una inundación, el otro sigue respondiendo.

Errores habituales

• Creer que DNSSEC protege contra DDoS. No lo hace, como dice expresamente la RFC 4033.
• Creer que DoH hace las consultas a prueba de manipulación de extremo a extremo. Solo protege el tramo hasta el resolutor.
• Dejar las cuentas del registrador con contraseñas compartidas y sin MFA, la vía más fácil para un secuestro.
• Mantener un resolutor recursivo abierto que los atacantes puedan usar como reflector.
• Tener todos los servidores de nombres con un solo proveedor o en una sola red.
• Dejar caducar o desajustar las firmas DNSSEC o los registros DS. Los resolutores que validan devuelven errores y el dominio parece caído.

Protección DNS, pruebas y monitorización

No se puede proteger lo que no se vigila. La monitorización de API de LoadFocus incluye monitores DNS con comprobación de registros y alertas: confirman desde 25 regiones que sus registros resuelven a los valores correctos, lo que también detecta problemas de propagación tras un cambio. LoadFocus es una herramienta de monitorización y pruebas, no un producto de protección DNS ni de seguridad. Para ver opciones, consulte las mejores herramientas de monitorización de API, y para la práctica general monitorización de red.

Preguntas frecuentes

¿Cuál es la diferencia entre protección DNS y DNSSEC?

La protección DNS es el conjunto de medidas. DNSSEC es una de ellas: autentica los datos DNS y detecta manipulaciones, pero no cifra las consultas ni defiende frente a la denegación de servicio.

¿DNSSEC detiene los ataques DDoS?

No. La RFC 4033 indica que DNSSEC no protege contra ataques de denegación de servicio. La disponibilidad viene de la redundancia, la capacidad, la limitación de tasa y una buena configuración de resolutores.

¿Qué es DNS sobre HTTPS y basta con él?

DNS sobre HTTPS envía las consultas DNS dentro de HTTPS a un resolutor, ocultándolas de la red local. No valida las respuestas ni protege los registros de su dominio, así que complementa a DNSSEC y a la seguridad de las cuentas, pero no los sustituye.

¿Cómo evito el secuestro de DNS?

Proteja las cuentas del registrador y del proveedor DNS con contraseñas únicas y autenticación multifactor, active un bloqueo de registrador, audite sus registros con regularidad y configure alertas ante cambios.

¿Cómo sé si mis registros DNS cambiaron sin querer?

Monitorícelos. Una comprobación DNS que compare los valores resueltos con los esperados, ejecutada periódicamente desde varias ubicaciones, le avisa cuando difieren.