Cuando el NIST desempuelve su guía, el DNS deja el back office para la línea del frente: SP 800-81 Rev 3 Bloqueo automático de orquesta, gobernanza compartida y convergencia transatlántica contra el ransomware.
El Instituto Nacional de Estándares y Tecnología (NIST) publicó recientemente un borrador de actualización de su guía de implementación segura del DNS (Publicación especial 800-81, Revisión 3), una iniciativa recibida en todo el mundo por expertos en ciberseguridad. Esta actualización atestigua un reconocimiento, bienvenido, del DNS como un elemento central de seguridad empresarial y protección nacional, pero también como un protocolo clave en el corazón de la resistencia cibernética. También refleja la voluntad del NIST para fortalecer la confiabilidad del DNS a escala global gracias a un enfoque abierto y basado en la experiencia colectiva. Este nuevo marco está en línea con las prioridades europeas en términos de ciberseguridad, en particular las que llevan a cabo la directiva NIS2. En un contexto en el que las amenazas digitales exceden las fronteras, la adopción de estándares globales para la seguridad del DNS es más esencial que nunca. Esta revisión está de hecho alineada con las ambiciones europeas, y no hay duda de que un enfoque colaborativo, guiado por los actores de la industria, beneficia a toda la sociedad.
Lo que dice la revisión 3 de NIST SP 800-81
La nueva versión de la guía reposiciona el DNS como una herramienta real de seguridad y conformidad y un punto de control fundamental de ciberseguridad. Durante mucho tiempo se percibe como una capa técnica simple, ahora se considera como un elemento estratégico de las arquitecturas de confianza cero y la defensa en profundidad. Por lo tanto, se convierte en un pilar de la resiliencia cibernética.
La seguridad DNS se basa en tres componentes: El uso de un DNS protector, asegurando el protocolo DNS y la protección del servicio e infraestructura DNS.
Uso de un DNS protector (protector DNS)
El DNS of Protection proporciona un servicio DNS enriquecido con características de seguridad basadas en el análisis de consultas y respuestas DNS, y desencadenando acciones de mitigación de amenazas. El DNS, como herramienta de control de seguridad, tiene la particularidad de no limitarse a ciertos tipos de amenazas a diferencia de otras herramientas en el ecosistema de seguridad. Protege a los usuarios y organizaciones bloqueando amenazas como ransomware, vuelos de identificación, fugas de datos y otras estafas de todo tipo.
Se basa en la integración de la información sobre las amenazas en el resolución DNS, a través de mecanismos como las zonas de políticas (RPZ), y puede interactuar fácilmente con un ya existente. Este servicio se puede proporcionar a través de una oferta AS de servicio ofrecida por un proveedor, establecido en la infraestructura DNS interna de la compañía o combinada en un enfoque híbrido. Este enfoque híbrido, aunque no es aplicable en todas las organizaciones, tiene varias ventajas y debe ser favorecido cuando su implementación es posible.
El DNS de protección va más allá del simple bloqueo. En el caso de un ataque cibernético, es esencial asociar una dirección IP con un activo comprometido en el momento del incidente, lo que implica recolectar metadatos clave en tiempo real, como la historia de los arrendamientos DHCP. Para detectar rápidamente una actividad maliciosa sospechosa o probada, los periódicos de seguridad DNS protectores deben integrarse en herramientas de supervisión como SIEM.
Los beneficios de un DNS protector son claros e inmediatos, ofreciendo una detección crítica temprana y una defensa automatizada contra las amenazas emergentes. Un ejemplo reciente ilustra esta capacidad de anticipación: en 2024, la CISA emitió una alerta de seguridad urgente que informa sobre una nueva campaña de ataque dirigida a cien organizaciones de salud destinadas a confiscar los datos personales de millones de personas. Como parte de este ataque, los actores de amenaza habían usado dos áreas maliciosas para comunicarse con su infraestructura de control y control (C2). Las organizaciones con soluciones de DNS de protección avanzada habían detectado y bloqueado automáticamente los intentos de comunicación con estas áreas maliciosas, varios días o varios meses antes de la publicación de la opinión de CISA. Esta intercepción temprana hizo posible evitar un intento de exfiltrado los datos antes de que ocurriera el daño, lo que demuestra el papel esencial de la protección DNS en defensa preventiva.
Asegurando el protocolo DNS
El protocolo DNS, esencial para la navegación por Internet, sigue siendo un objetivo privilegiado de los cibercriminales para difundir malware, exfiltrado datos, establecer comunicaciones C2, etc. para protegerse contra estas amenazas, las organizaciones deben proteger sus servicios autoritarios y recursivos de DNS internos y externos, utilizando tecnologías como DNSSEC o TSIG. También deben cuantificar las comunicaciones del DNS tanto como sea posible, y finalmente garantizar la rigurosa higiene del DNS para verificar la integridad de sus dominios públicos.
El cifrado de DNS fortalece la confidencialidad y reduce los riesgos de ataques como la falsificación de DNS o el hombre en el medio. Sin embargo, este cifrado requiere una carga de trabajo adicional en particular para los servidores DNS, que deben dimensionarse suficientemente antes de cualquier implementación a gran escala.
La higiene en términos de gestión de DNS, por otro lado, debe seguir buenas prácticas para evitar ataques vinculados a errores de configuración o al abandono de los nombres de dominio. Malventy Actores pueden explotar el nombre de Cname abandonado (colgante CNAME), delegaciones de dominios defectuosos (cuchilla de delegación) o nombres de dominios Mirroir (dominios parecidos). Las empresas y organizaciones deben implementar procesos sólidos para controlar y validar constantemente la integridad de sus áreas públicas, y para mejorar su visibilidad de los intentos de usurpación de áreas legítimas que les pertenecen. Un ejemplo ilustra los principales riesgos de la mala gestión de DNS: un subdominio de los CDC estadounidenses, abandonados, fue recuperado por un atacante que publicó su propio contenido allí. No era necesaria una piratería sofisticada, el atacante simplemente insertó su propio contenido en un subdominio de 'Cdc.gov'. Este ejemplo resalta la facilidad con la que los atacantes pueden explotar la mala higiene del DNS y los riesgos de la reputación a la que esto puede conducir.
Asegurar servicios e infraestructura DNS
Para garantizar la resistencia del DNS, es esencial ejecutar estos servicios DNS en una infraestructura dedicada y segura. El aislamiento de los servicios DNS de otros servicios delicados reduce la superficie del ataque y garantiza su disponibilidad.
La actualización defectuosa de Windows en 2024 ilustra esta necesidad bastante bien. Este último causó un desglose masivo de los servidores, incluidos los de los servicios de DNS, colocando muchas redes fuera de línea durante horas. Un claro recordatorio de la importancia de una infraestructura DNS robusta e independiente para garantizar la continuidad de las operaciones.
Una dinámica colaborativa para fortalecer la seguridad del DNS
Esta actualización de la Guía NIST refleja la evolución de las amenazas y las lecciones del campo. Basado en la experiencia de profesionales e investigadores de todo el mundo, ofrece recomendaciones concretas y probadas. El DNS es un pilar de Internet, su seguridad solo puede basarse en estándares compartidos. El proceso de colaboración NIST fortalece la legitimidad y la eficiencia de los estándares globales en términos de ciberseguridad.
La actualización de la Guía DNS por parte del NIST es un avance importante aclamado por la comunidad global de ciberseguridad. Ella enfatiza que asegurar una tecnología cruzada a medida que el DNS pasa por la colaboración y el intercambio de experiencia. Alineada con la Directiva Europea NIS2, esta iniciativa refleja un consenso global sobre la protección de nuestra infraestructura digital común.
____________________________
Par Laurent RousseauSoluciones de gerente de arquitecto para el sur de Europa en InfoBlox
Leer también:
Los ataques de phishing evolucionan y transforman el DNS en un arma para los ciberdelincuentes
La compañía sin fronteras: ¿cómo optimizar las redes en las afueras?
Un error tipográfico de Mikro: un error tipográfico ha permitido que una botnet rusa extienda malware
Sin respiro en la parte delantera de los ataques DNS
DNS Security: las cinco tendencias principales para 2022
¡Siempre es el DNS!
[
