Attacchi DNS: 10 tipi di attacchi DNS ed esempi reali

 

Un attacco DNS è qualsiasi attacco che abbia come obiettivo il Domain Name System o che ne abusi per reindirizzare gli utenti, rubare dati o rendere un servizio non disponibile. Ogni visita a un sito web e ogni consegna di e-mail si basano sulle ricerche DNS, rendendo l’infrastruttura DNS un bersaglio allettante. Poiché il DNS tradizionale non autentica intrinsecamente l’origine di ogni risposta, gli aggressori possono sfruttare le vulnerabilità nella risoluzione, nell’amministrazione dei domini e nella configurazione di rete per interrompere i servizi o ingannare gli utenti. Esistono diversi tipi di attacchi DNS a seconda dell’obiettivo, degli scopi dell’aggressore e dei metodi di prevenzione. In questo blog esamineremo i vari tipi di attacchi DNS e come mitigarli. 

Che cos’è un attacco DNS?

Un attacco DNS è un attacco informatico che prende di mira il Domain Name System (DNS) o ne sfrutta in modo improprio le normali funzioni per compromettere la disponibilità, l’integrità o la riservatezza dei servizi di rete. Il Sistema dei nomi di dominio (DNS) traduce i nomi di dominio in informazioni, quali gli indirizzi IP, che i sistemi utilizzano per individuare siti web, server di posta e altri servizi Internet.

Gli attacchi basati sul DNS funzionano generalmente in tre modi:

1. Reindirizzare il traffico. Gli aggressori falsificano le risposte DNS, compromettono le impostazioni DNS o modificano i record di dominio per indirizzare gli utenti verso una destinazione non prevista. Ne sono esempi lo spoofing DNS e il dirottamento DNS.
2. Abuso del DNS come canale o arma. Il tunneling DNS può veicolare comunicazioni non autorizzate o dati rubati all’interno delle query e delle risposte DNS. L’amplificazione DNS utilizza l’infrastruttura DNS per aumentare il volume di traffico diretto verso una vittima.
3. Sovraccaricare i servizi DNS. Gli attacchi di tipo “flood” inviano un numero eccessivo di query per esaurire le risorse del server. Gli attacchi NXDOMAIN utilizzano richieste relative a nomi inesistenti per forzare ricerche ripetute e sovraccaricare l’infrastruttura DNS.

Queste tecniche possono avere ripercussioni sui resolver ricorsivi, sui server dei nomi autoritativi, sui singoli dispositivi, sui registrar di domini o sulle reti che li collegano.

Molti attacchi vanno a buon fine a causa di una vulnerabilità preesistente, come controlli di accesso inadeguati, servizi DNS esposti o la mancanza di verifiche di sicurezza. 

Panoramica sui tipi di attacchi DNS

Il seguente elenco di attacchi DNS riassume ciascuna tecnica, il suo bersaglio, l'obiettivo dell'autore dell'attacco e una misura di sicurezza pertinente.

10 tipi comuni di attacchi DNS

Gli attacchi DNS si differenziano per metodi e obiettivi. Alcuni manipolano le risposte fornite da un resolver, mentre altri compromettono l'amministrazione dei domini, nascondono traffico dannoso o sovraccaricano l'infrastruttura. Comprendere il funzionamento di ciascun attacco aiuta i team di sicurezza a riconoscere i segnali di allarme corretti.

1. Spoofing DNS e avvelenamento della cache

Lo spoofing DNS si verifica quando un malintenzionato fornisce informazioni DNS false per deviare una query. Il cache poisoning DNS è una tecnica correlata in cui un resolver ricorsivo accetta e memorizza una risposta DNS contraffatta. Gli altri utenti che si affidano a tale risposta memorizzata nella cache potrebbero quindi essere reindirizzati verso un indirizzo IP controllato dal malintenzionato fino alla scadenza del record o allo svuotamento della cache.

Come funziona:

1. Un resolver riceve una richiesta di ricerca di un dominio.
2. L'autore dell'attacco tenta di inserire una risposta falsificata che sembri corrispondere alla richiesta in sospeso.
3. Se il resolver accetta la risposta falsificata, potrebbe memorizzare nella cache il record errato.
4. Le query successive potrebbero restituire l'indirizzo dannoso anziché quello legittimo.

L'autore dell'attacco potrebbe sfruttare questo reindirizzamento per ospitare copie realistiche di siti web, raccogliere credenziali o intercettare informazioni sensibili. Un attacco di tipo "poisoning" andato a buon fine può interessare più utenti qualora un resolver condiviso venga compromesso.

Come individuarlo: Verificare quando un resolver restituisce un indirizzo IP che non corrisponde ai dati DNS autorevoli previsti.

Per saperne di più su spoofing DNS e avvelenamento del DNSe scopri come il DNSSEC aiuta i resolver di convalida a respingere i dati DNS contraffatti quando i record pertinenti sono correttamente firmati e la convalida è abilitata. (Nota: il DNSSEC non protegge da ogni forma di attacco DNS)

2. Il dirottamento DNS (e le sue 4 tipologie)

Il dirottamento DNS si verifica quando un malintenzionato assume il controllo della risoluzione DNS o delle impostazioni del dominio e modifica la destinazione delle query. A differenza del cache poisoning, che consiste nell’inserire risposte false nella cache di un resolver, il dirottamento comporta spesso la compromissione del dispositivo, del router, del servizio DNS o dell’account di amministrazione del dominio responsabile della risoluzione.

Esistono quattro forme comuni:

• Dirottamento locale: il malware modifica le impostazioni DNS su un computer o su un altro dispositivo in modo che le sue richieste vengano indirizzate a un resolver controllato dall'autore dell'attacco.
• Dirottamento del router: un malintenzionato compromette un router e ne modifica le impostazioni DNS, con possibili ripercussioni su più dispositivi collegati.
• Attacco "man-in-the-middle": un malintenzionato intercetta le richieste DNS durante il transito e tenta di alterarne le risposte prima che raggiungano il dispositivo richiedente.
• Server DNS non autorizzato o dirottamento del registrar: un malintenzionato modifica le deleghe dei server dei nomi di dominio o i record DNS tramite un account compromesso presso un provider DNS o un registrar.

Come funziona: L'autore dell'attacco ottiene l'accesso a uno di questi punti di controllo, modifica la destinazione DNS o il percorso di risposta e reindirizza gli utenti verso un'infrastruttura sotto il proprio controllo. Il reindirizzamento che ne deriva può essere utilizzato per attività di phishing, furto di credenziali, diffusione di malware o interruzione del servizio.

Cosa ottiene l'autore dell'attacco: il controllo sulla destinazione a cui vengono reindirizzati gli utenti colpiti, con la possibilità di accedere a credenziali, informazioni sensibili o traffico aziendale.

Come individuarlo: verificare la presenza di modifiche inaspettate ai record NS o A, server DNS sconosciuti configurati su dispositivi o router e l'emissione di certificati che non può essere giustificata da attività autorizzate. L'emissione di certificati di per sé non costituisce prova di dirottamento, ma può giustificare un'indagine.

3. Tunneling DNS

Tunneling DNS utilizza le query e le risposte DNS per trasportare dati o comunicazioni che non sono normali ricerche DNS. Gli aggressori possono utilizzare questa tecnica per stabilire canali di comando e controllo, trasferire informazioni rubate o comunicare con sistemi compromessi, mimetizzandosi nel traffico di rete di routine.

Come funziona: I dati vengono codificati nei nomi di dominio o nei campi dei record DNS, spesso utilizzando sottodomini o record TXT. Un sistema sotto il controllo dell'autore dell'attacco riceve le richieste e ricostruisce le informazioni trasmesse. A seconda dell'implementazione, il tunnel può supportare la comunicazione bidirezionale.

Poiché il DNS viene spesso autorizzato dai controlli di sicurezza di rete, il tunneling dannoso potrebbe passare inosservato se le organizzazioni non analizzano i modelli di traffico DNS. Tuttavia, il tunneling DNS non è automaticamente dannoso. Anche alcuni strumenti legittimi di sicurezza e di rete utilizzano comunicazioni basate sul DNS.

Cosa ottiene l'autore dell'attacco: un canale nascosto per il controllo remoto, l'esfiltrazione di dati o la comunicazione con sistemi compromessi.

Come individuarlo: cerca query relative a sottodomini insolitamente lunghi o ad alta entropia, query ripetute rivolte a un dominio sconosciuto o un elevato volume di richieste TXT che non corrispondono alla normale attività aziendale.

Monitoraggio della sicurezza DNS può aiutare a identificare modelli sospetti senza considerare ogni query insolita come un attacco.

4. Attacchi di amplificazione DNS

Amplificazione DNS è una forma di attacco distribuito di tipo denial-of-service (DDoS) che sfrutta i server DNS per inviare un ingente volume di traffico verso la vittima. Solitamente si avvale di resolver ricorsivi accessibili pubblicamente che rispondono a richieste provenienti da fonti arbitrarie.

Come funziona:

1. L'autore dell'attacco individua i server DNS che possono essere sfruttati per generare risposte di dimensioni superiori alle query ricevute.
2. L'autore dell'attacco invia richieste DNS in cui l'indirizzo IP di origine della vittima è stato falsificato all'interno del pacchetto.
3. I server DNS inviano le loro risposte alla vittima anziché all'autore dell'attacco.
4. Le risposte combinate consumano la larghezza di banda della rete della vittima e potrebbero rendere indisponibili i suoi servizi.

Questo fenomeno è noto come “riflessione”, poiché il traffico viene inviato da server DNS di terze parti, e come “amplificazione”. Infatti, le risposte possono essere più voluminose delle richieste. L’attacco può colpire siti web, collegamenti di rete e altri servizi esposti a Internet.

Cosa ottiene l'autore dell'attacco: un modo per generare traffico dannoso senza inviare ogni singolo pacchetto direttamente dalla propria infrastruttura.

Come individuarlo: monitorare eventuali picchi imprevisti nel traffico in entrata correlato al DNS, traffico insolito proveniente da più server DNS e saturazione della rete che coincida con un deterioramento del servizio.

La vulnerabilità alla base potrebbe essere vulnerabilità del DNS che consentono query ricorsive senza restrizioni. 

5. Attacchi DNS di tipo flood

Un attacco DNS flood sovraccarica l'infrastruttura DNS con un elevato volume di richieste, esaurendo la capacità di elaborazione o le risorse di rete. Gli autori degli attacchi possono utilizzare botnet composte da dispositivi compromessi per generare traffico a una velocità che il servizio DNS della vittima non è in grado di gestire.

Come funziona: I dispositivi compromessi inviano un gran numero di richieste a un servizio DNS di destinazione. Se il traffico in entrata supera la capacità del servizio, le richieste legittime potrebbero subire ritardi, essere ignorate o rimanere senza risposta. Gli utenti potrebbero quindi non riuscire ad accedere ai siti web o alle applicazioni che dipendono dall'infrastruttura DNS interessata.

Non tutti gli attacchi DNS flood utilizzano lo stesso schema di query. Alcuni prendono di mira i server dei nomi autoritativi con grandi volumi di richieste dall’aspetto normale, mentre altri utilizzano sottodomini casuali o sfruttano la riflessione e l’amplificazione.

Cosa ottiene l'autore dell'attacco: interruzione del servizio, perdita di disponibilità e, potenzialmente, un diversivo rispetto ad altre attività dannose.

Come individuarlo: prestare attenzione a improvvisi aumenti del numero di query al secondo, a un aumento della latenza di risposta, a richieste perse o a un aumento costante del traffico proveniente da fonti distribuite.

Gli attacchi di tipo “DNS flood”, gli attacchi di amplificazione e gli attacchi NXDOMAIN possono tutti contribuire all’attività DDoS legata al DNS DDoS, ma si differenziano per i modelli di traffico e i meccanismi utilizzati. Un attacco di tipo «flood» diretto sommerge un servizio con una valanga di richieste; l’amplificazione consiste nell’inviare risposte di dimensioni maggiori verso la vittima; mentre un attacco NXDOMAIN richiede ripetutamente nomi inesistenti.

6. Attacchi NXDOMAIN e con sottodomini casuali (Water Torture)

Un attacco NXDOMAIN prende di mira l'infrastruttura DNS con richieste relative a nomi di dominio o sottodomini inesistenti. Una variante comune, denominata "attacco con sottodomini casuali" o "tortura dell'acqua DNS", genera numerosi nomi di sottodomini imprevedibili per ridurre la probabilità che le risposte siano già presenti nella cache.

Come funziona:

1. L'autore dell'attacco genera un gran numero di sottodomini casuali sotto un dominio di destinazione.
2. Una botnet o un'altra fonte di traffico invia richieste relative a tali nomi.
3. Poiché i nomi sono nuovi o inesistenti, i resolver ricorsivi potrebbero dover inoltrare le richieste ai server dei nomi autoritativi.
4. Il numero di ricerche ripetute consuma risorse del server e può causare ritardi nelle risposte DNS legittime.

Questo attacco risulta particolarmente efficace quando lo schema della query aggira la normale memorizzazione nella cache. La risposta NXDOMAIN che ne deriva indica semplicemente che il nome richiesto non esiste. La risposta di per sé non costituisce prova di un attacco; ciò che desta preoccupazione è un volume o uno schema anomalo di tali richieste.

Cosa ottiene l'autore dell'attacco: la possibilità di compromettere o interrompere la risoluzione DNS senza dover modificare i record DNS legittimi.

Come individuarlo: verificare la presenza di picchi improvvisi nelle risposte NXDOMAIN, di frequenze di query insolitamente elevate per sottodomini univoci e di un aumento del carico sui server dei nomi autoritativi.

7. Conquista di sottodomini

A appropriazione di un sottodominio si verifica quando un malintenzionato assume il controllo di un servizio o di una risorsa esterna a cui la configurazione DNS di un dominio continua a puntare. Ciò accade comunemente quando un'applicazione ospitata su cloud, un sito web o un servizio di terze parti viene dismesso, ma il relativo record DNS rimane attivo.

Come funziona:

1. Un sottodominio ha un record DNS, spesso un CNAME, che punta a un servizio di terze parti.
2. Il servizio o la risorsa viene rimossa, lasciando la destinazione DNS non assegnata.
3. Un malintenzionato individua la risorsa non assegnata e la registra o la provisiona tramite il provider competente.
4. L'autore dell'attacco distribuisce contenuti tramite il sottodominio dell'organizzazione, avvalendosi potenzialmente del nome di dominio considerato affidabile per far apparire legittime le proprie attività dannose.

Cosa ottiene l'autore dell'attacco: la possibilità di ospitare contenuti non autorizzati sotto un sottodominio considerato affidabile. A seconda del servizio e dell'applicazione, ciò potrebbe favorire attività di phishing, la distribuzione di malware o attacchi contro gli utenti che ripongono fiducia nell'organizzazione.

Come individuarlo: cerca i record DNS che rimandano a servizi che non esistono più, le pagine di errore dei provider su sottodomini attivi o contenuti inattesi forniti tramite un nome host controllato dall'azienda.

A studio USENIX Security del 2021 condotto da Squarcina e colleghi ha individuato vulnerabilità di tipo "takeover" in 1.520 sottodomini distribuiti su 887 domini presenti tra i primi 50.000 della classifica Tranco. Si tratta di un risultato dello studio, non di una prova che il 15% di tutti i primi 50.000 domini fosse vulnerabile. L'articolo ha identificato i servizi di terze parti non più attivi come la causa principale tra i sottodomini vulnerabili esaminati.

8. Attacchi DNS di tipo “man-in-the-middle” (on-path)

A Attacco Man-in-the-Middle si verifica quando un malintenzionato è in grado di osservare o interferire con le comunicazioni tra un dispositivo e il suo resolver DNS. Su una rete non affidabile o compromessa, come ad esempio un hotspot Wi-Fi pubblico malevolo, un malintenzionato potrebbe tentare di intercettare le query DNS non crittografate o di manipolarne le risposte.

Come funziona: Un dispositivo invia una richiesta DNS tramite una connessione di rete. Se un malintenzionato riesce a posizionarsi lungo il percorso di comunicazione, può intercettare i domini richiesti o tentare di alterare le risposte prima che raggiungano il dispositivo. Il successo dell'attacco dipende dalla posizione nella rete, dal protocollo di trasporto e dai meccanismi di convalida in uso.

Cosa ottiene l'autore dell'attacco: potenziale visibilità sull'attività DNS, opportunità di reindirizzare gli utenti o informazioni utili a facilitare altri attacchi.

Come individuarlo: verificare la presenza di risposte DNS inaspettate su una rete specifica, problemi ricorrenti di reindirizzamento o modifiche sospette che si verificano solo quando i dispositivi si connettono tramite un determinato punto di accesso.

L'uso di MTA-STS crittografa il traffico e-mail tra un client e il suo resolver, riducendo le possibilità di intercettazione e manomissione lungo il percorso. Tuttavia, non protegge ogni fase del processo di risoluzione DNS.

9. Rebinding DNS

Il "DNS rebinding" è un attacco che sfrutta l'interazione tra i browser e la risoluzione DNS per indurre un sito web pubblico a comunicare con i sistemi presenti sulla rete locale della vittima. Un aggressore prende il controllo di un dominio e modifica l'indirizzo IP restituito dalle risposte DNS, facendo sì che il browser, dopo una connessione iniziale a un indirizzo pubblico, si colleghi a un indirizzo privato o interno.

Come funziona:

1. Una vittima visita una pagina ospitata su un dominio controllato dall'autore dell'attacco.
2. Inizialmente, il dominio rimanda a un indirizzo che ospita la pagina dell'autore dell'attacco.
3. L'autore dell'attacco modifica la risposta DNS in modo che le successive ricerche puntino a un indirizzo IP interno.
4. Se le protezioni del browser e della rete non bloccano la richiesta, gli script della pagina potrebbero tentare di comunicare con un router, un dispositivo IoT o un servizio amministrativo interno.

L'attacco può sfruttare i rapporti di fiducia tra un browser e il sito di origine, esponendo potenzialmente servizi che non sono direttamente raggiungibili dall'Internet pubblico. Il successo dell'attacco dipende dal comportamento del browser, dalla cache DNS, dalla configurazione di rete e dalle misure di protezione implementate dal servizio interno.

Cosa ottiene l'autore dell'attacco: potenziale accesso alle interfacce web interne o alle informazioni rese accessibili da dispositivi e applicazioni vulnerabili.

Come individuarlo: analizza le richieste inattese provenienti da un dominio pubblico verso intervalli di indirizzi IP privati, specialmente se associate ad attività sospette del browser.

Il rebinding DNS non consiste semplicemente in una risposta DNS contraffatta. Si basa invece sulla modifica accurata delle risposte DNS per sfruttare l'accesso del browser alla rete della vittima.

10. Typosquatting e domini simili

Typosquatting consiste nella registrazione di un nome di dominio simile a uno legittimo, spesso tramite una variazione ortografica, l'aggiunta di un carattere o un dominio di primo livello diverso. I domini simili possono essere utilizzati per spacciarsi per aziende, dipendenti, fornitori o servizi online.

Non si tratta di un attacco all'infrastruttura DNS della vittima in sé. Si tratta piuttosto di un abuso del sistema di denominazione DNS finalizzato a creare un dominio ingannevole che gli utenti potrebbero scambiare per uno legittimo.

Come funziona:

1. Un malintenzionato registra un dominio che ricorda il nome di un marchio affidabile o di un partner commerciale.
2. L'autore dell'attacco configura i record DNS, compresi i record MX se il dominio verrà utilizzato per la posta elettronica.
3. Il dominio viene utilizzato per ospitare un sito web fraudolento, inviare messaggi di phishing o spacciarsi per un dirigente o un fornitore.
4. Le vittime potrebbero rivelare le proprie credenziali, trasferire denaro o condividere informazioni aziendali riservate.

Cosa ottiene l'autore dell'attacco: un'identità credibile da utilizzare per attività di phishing, compromissione delle e-mail aziendali (BEC), furto di credenziali e frodi. La pubblicazione dei record MX non costituisce di per sé una prova di intento doloso, ma può indicare che un dominio simile a quello legittimo è configurato per ricevere e-mail.

Come riconoscerlo: prestate attenzione ai domini simili appena registrati che iniziano a pubblicare record MX, soprattutto quando i nomi imitano il vostro marchio, i vostri dirigenti o i vostri fornitori.

Esempi concreti di attacchi DNS

Diversi incidenti di sicurezza di grande risonanza dimostrano come le vulnerabilità del DNS e gli attacchi alle infrastrutture di supporto possano avere ripercussioni su utenti, aziende e servizi Internet. Gli esempi che seguono illustrano diverse tecniche di attacco e gli insegnamenti che ne derivano.

1. Vulnerabilità "DNS Cache Poisoning" di Kaminsky (2008)

Nel 2008, il ricercatore nel campo della sicurezza Dan Kaminsky ha rivelato una grave vulnerabilità che interessava i resolver DNS. Gli autori degli attacchi potevano inviare un gran numero di risposte contraffatte nel tentativo di avvelenare la cache di un resolver e reindirizzare gli utenti verso destinazioni dannose. La rivelazione ha portato a modifiche coordinate al software e all'infrastruttura DNS, tra cui una migliore randomizzazione delle porte di origine delle query.

Lezione: Il rafforzamento dei resolver e la convalida DNSSEC aiutano a difendersi dai dati DNS contraffatti. blog.cloudflare.com .

2. Attacco DDoS contro Dyn DNS (2016)

Nell’ottobre 2016, la botnet Mirai è stata utilizzata in un grave attacco DDoS contro Dyn, un provider DNS. L’interruzione ha compromesso l’accesso a numerosi servizi Internet ben noti che si avvalevano dell’infrastruttura di Dyn. Mirai aveva compromesso dispositivi connessi a Internet, tra cui router e telecamere, e li aveva utilizzati per generare traffico di attacco.

Lezione: La disponibilità del DNS dipende da un'infrastruttura resiliente e da un'efficace mitigazione degli attacchi DDoS. I dispositivi connessi con un livello di sicurezza insufficiente possono diventare parte integrante di un attacco di portata molto più ampia.

3. Campagne di dirottamento DNS: Sea Turtle e DNSpionage (2018–2019)

I ricercatori nel campo della sicurezza hanno documentato campagne in cui gli autori degli attacchi hanno preso di mira l’infrastruttura DNS e i processi di amministrazione dei domini per reindirizzare il traffico. La campagna “Sea Turtle” ha comportato la compromissione di account e infrastrutture legati al DNS, mentre “DNSpionage” ha utilizzato il dirottamento del DNS nell’ambito di una più ampia attività di spionaggio. Queste operazioni hanno dimostrato che gli aggressori potevano prendere di mira la risoluzione dei domini affidabili anziché limitarsi ai singoli computer.

Lezione: I registrar di domini, i provider DNS e le configurazioni dei server dei nomi devono essere considerati risorse fondamentali per la sicurezza. Qualsiasi modifica imprevista alla delega del dominio richiede un'indagine tempestiva. 

4. Incidente di dirottamento DNS/BGP di MyEtherWallet (2018)

Nell’aprile 2018, gli utenti che tentavano di accedere al servizio di criptovalute MyEtherWallet sono stati reindirizzati a un sito web fraudolento nel corso di un incidente che ha comportato il dirottamento delle rotte BGP e l’infrastruttura DNS. L’incidente ha evidenziato come gli attacchi contro il routing Internet e la risoluzione dei nomi possano combinarsi per far apparire legittima una destinazione dannosa.

Lezione: La sicurezza del DNS deve essere considerata insieme alla sicurezza del routing, alla convalida dei certificati e alla protezione degli account e delle transazioni sensibili.

5. Attacco SAD di avvelenamento della cache DNS (2020)

Nel novembre 2020, alcuni ricercatori hanno reso noto SAD DNS, una tecnica che sfruttava un canale laterale legato al comportamento della rete per rilanciare attacchi di cache poisoning del DNS contro resolver vulnerabili. La ricerca ha dimostrato che i miglioramenti introdotti dopo la scoperta di Kaminsky del 2008 non hanno eliminato tutte le possibili tecniche di cache poisoning.

Lezione: Le difese DNS devono evolversi man mano che i ricercatori scoprono nuovi metodi di attacco. È importante mantenere aggiornato il software DNS e utilizzare la convalida DNSSEC, ove supportata.

Come individuare un attacco DNS

Gli attacchi DNS non causano sempre un'interruzione immediata del servizio. Alcuni reindirizzano silenziosamente gli utenti, creano canali di comunicazione nascosti o preparano un dominio per il phishing. Monitorare le modifiche e le attività DNS insolite può aiutare a individuare un problema prima che provochi danni più estesi.

Presta attenzione a questi segnali di allarme:

• Modifiche impreviste ai record NS, A, AAAA o MX. Verificare se le modifiche sono state autorizzate e se corrispondono alla configurazione prevista.
• Emissione di certificati non richiesti. Verificare i certificati sconosciuti associati ai propri domini, in particolare se associati ad altre attività sospette.
• Picchi improvvisi nel volume delle richieste. Un forte aumento delle richieste o delle risposte NXDOMAIN può indicare un attacco di tipo “flood” o un attacco con sottodomini casuali.
• Sottodomini insoliti, codificati o particolarmente lunghi. Le query ripetute e ad alta entropia rivolte a domini sconosciuti potrebbero indicare l'utilizzo di un tunnel DNS.
• Utenti che finiscono sul sito web sbagliato. Confronta le risposte del resolver con i record autorevoli e indaga sui reindirizzamenti imprevisti.
• Modifiche impreviste alla configurazione DNS su dispositivi o router. Queste possono indicare un dirottamento locale o a livello di router.

Nessuno di questi segnali, di per sé, dimostra che si tratti di un attacco. Tali cambiamenti potrebbero avere spiegazioni legittime, pertanto è necessario esaminarne la tempistica, l'origine, la portata e il contesto prima di trarre conclusioni.

Il monitoraggio continuo della sicurezza DNS trasforma le modifiche e le attività anomale in avvisi che consentono di intervenire. Per un controllo manuale, utilizza il nostro strumento di ricerca dei record DNS per esaminare i record pubblicati. Se sospetti che si tratti di un incidente in corso, conserva i log pertinenti e segnala il caso al tuo team di sicurezza affinché approfondisca le indagini.

Impatto degli attacchi DNS

Gli attacchi DNS possono avere conseguenze che vanno oltre la semplice indisponibilità di un sito web. Il loro impatto dipende dalla tecnica utilizzata, dai sistemi compromessi e dalla rapidità con cui l'incidente viene rilevato.

• Interruzioni dell'attività aziendale: Le inondazioni e gli attacchi DDoS possono impedire agli utenti legittimi di risolvere i nomi di dominio, interrompendo l'accesso a siti web, applicazioni e altri servizi online.
• Furto di dati e accesso non autorizzato: lo spoofing, l’hijacking e il tunneling possono favorire il furto di credenziali, l’esfiltrazione di dati o l’accesso a sistemi sensibili.
• Phishing e frodi: I domini simili a quelli legittimi e i reindirizzamenti dannosi possono far sembrare affidabili siti web o e-mail fraudolenti, aumentando il rischio di furto delle credenziali e di compromissione della posta elettronica aziendale.
• Danni all’immagine e alla reputazione: I clienti potrebbero perdere fiducia in un'organizzazione dopo essere stati reindirizzati a siti dannosi o aver ricevuto comunicazioni fraudolente che sembrano provenire dall'azienda.
• Costi relativi alla risposta agli incidenti: Le organizzazioni potrebbero dover indagare sull'attacco, ripristinare le configurazioni DNS, isolare i sistemi compromessi, comunicare con gli utenti interessati e ripristinare i servizi interrotti.

Come prevenire gli attacchi DNS

La prevenzione degli attacchi DNS richiede misure di controllo adeguate alla tecnica utilizzata. Il protocollo DNSSEC contribuisce a convalidare i dati DNS, la sicurezza dei registrar riduce il rischio di modifiche non autorizzate ai domini e il monitoraggio del traffico può individuare le query sospette. Nessuna singola misura di controllo è in grado di prevenire ogni tipo di attacco DNS.

Utilizzate la tabella seguente come punto di partenza per associare gli attacchi più comuni alle misure di protezione adeguate.

Le organizzazioni dovrebbero inoltre monitorare le modifiche apportate ai record DNS autorevoli, verificare regolarmente gli accessi dei registrar e dei provider DNS e rimuovere i record che rimandano a servizi dismessi. Uno strumento gratuito di verifica DNSSEC può aiutare a verificare lo stato del DNSSEC per un dominio, ma un esito positivo del controllo non garantisce che ogni aspetto della sicurezza DNS sia configurato correttamente.

L'autenticazione delle e-mail è altrettanto importante quando gli hacker utilizzano domini simili o domini dirottati per spacciarsi per mittenti affidabili. L'implementazione di DMARC, SPF e DKIM aiuta i sistemi di posta in ricezione ad autenticare i messaggi. Una politica DMARC di tipo p=reject, se correttamente implementata e supportata da un'autenticazione allineata, indica ai destinatari di rifiutare i messaggi che non superano la valutazione DMARC, sebbene il comportamento di applicazione dipenda dal sistema ricevente.

Per l'elenco completo passo dopo passo, consulta la nostra guida checklist delle migliori pratiche di sicurezza DNS .

Domande frequenti

Qual è l'attacco DNS più comune?

Non esiste un unico tipo di attacco DNS che possa essere considerato universalmente il più comune. Le minacce basate sul DNS includono lo spoofing, l’hijacking, il tunneling e gli attacchi denial-of-service. La loro diffusione varia a seconda del settore, dell’esposizione della rete e della metodologia di segnalazione. Le organizzazioni dovrebbero monitorare l’attività DNS e stabilire le priorità delle difese in base alla propria infrastruttura e all’esposizione alle minacce.

Quali sono i due tipi di attacchi utilizzati contro i resolver DNS aperti?

Due tecniche di attacco comuni che coinvolgono i resolver DNS aperti sono l’amplificazione e la riflessione, che sfruttano le risposte dei resolver per indirizzare il traffico verso una vittima, e gli attacchi di esaurimento delle risorse, che sovraccaricano i servizi DNS con un numero eccessivo di query. I resolver aperti possono esporre l’infrastruttura ad abusi quando la ricorsione è disponibile per clienti non autorizzati. 

Qual è la differenza tra spoofing DNS e dirottamento DNS?

Lo spoofing DNS consiste nel fornire risposte DNS false, mentre il cache poisoning si verifica quando un resolver accetta e memorizza una risposta falsificata. Il dirottamento DNS consiste nell'assumere il controllo delle impostazioni DNS, dei record o dei processi di risoluzione per reindirizzare il traffico. Entrambe le tecniche possono indirizzare gli utenti verso destinazioni dannose, ma il metodo utilizzato dall'autore dell'attacco e il punto di controllo interessato differiscono.

Il protocollo DNSSEC è in grado di bloccare tutti gli attacchi al DNS?

No. Il protocollo DNSSEC garantisce l'autenticazione crittografica e l'integrità dei dati DNS, aiutando i resolver di validazione a individuare le risposte contraffatte. Tuttavia, non impedisce tutti gli attacchi, tra cui gli attacchi DDoS, il tunneling DNS o le modifiche non autorizzate apportate tramite account di registrar compromessi. Il protocollo DNSSEC deve essere implementato e convalidato correttamente per garantire la protezione prevista. 

Parole finali

Gli attacchi DNS possono compromettere l'instradamento del traffico, esporre informazioni sensibili e interrompere i servizi su cui fanno affidamento i clienti. Riconoscere le diverse tecniche di attacco aiuta i team di sicurezza a indagare sulle attività sospette e a selezionare le misure di controllo appropriate. Iniziate oggi stesso a verificare la configurazione del vostro dominio, i controlli di accesso e l'attività DNS. 

Scopri quali cambiamenti stanno avvenendo nella tua infrastruttura DNS

Monitora lo stato di salute del DNS, rileva modifiche impreviste ai record e individua i problemi di configurazione prima che si trasformino in gravi problemi di sicurezza. PowerDMARC ti aiuta a tenere sotto controllo la sicurezza del dominio grazie a controlli e monitoraggio automatizzati del DNS.