Seguridad DNS

Pasos prácticos para proteger su infraestructura de DNS.

Cómo elegir una protección DNS

Requisitos fundamentales:

‍

SLA de disponibilidad del 100%:

• El DNS no puede permitirse tiempos de inactividad
• Busque proveedores con SLA estrictos
• Comprenda la metodología de medición del SLA

Protección siempre activa:

• Sin retrasos por activación manual
• Depuración de tráfico continua
• Respuesta de mitigación instantánea

Red Anycast global:

• Presencia distribuida en todos los continentes
• Múltiples centros de depuración
• Distribución geográfica de la carga

Capacidad masiva:

• Capacidad de mitigación a nivel de Tbps
• Historial probado frente a ataques de gran escala
• Infraestructura escalable

Soporte para DNSSEC:

• Compatibilidad total con DNSSEC
• Opciones de gestión automatizada de claves
• Soporte de validación

Mejores prácticas de configuración

Servidores autoritativos:

‍

Servidores de nombres múltiples:

• Mínimo de 3 a 4 servidores de nombres por zona
• Diferentes redes /24 (diversidad de IP)
• Diferentes ubicaciones geográficas
• Diferentes sistemas autónomos (diversidad de ASN)

Configuración de TTL:

• TTL más largos para registros estables (3600-86400 segundos)
• TTL más cortos durante migraciones (300-600 segundos)
• Equilibrio entre el beneficio del almacenamiento en caché y la flexibilidad de cambios

Gestión de registros:

• Auditoría periódica de registros DNS
• Eliminación inmediata de registros no utilizados
• Documentación de todos los cambios
• Control de versiones para archivos de zona

Configuración del resolvedor:

Para organizaciones que operan resolvedores:

‍

Deshabilitar recursión:

• En servidores autoritativos (solo deben responder por sus propias zonas)
• Previene el abuso del resolvedor

Limitación de tasa:

• Limitar consultas por origen
• Limitar respuestas por destino (RRL)

Reenvío:

• Considere reenviar a un servicio de resolución protegido
• No exponga resolvedores internos directamente a internet

Buenas prácticas de control de acceso

Gestión de DNS:

‍

Autenticación robusta:

• Autenticación de múltiples factores (MFA) obligatoria
• Cuentas únicas por administrador (sin credenciales compartidas)
• Rotación periódica de contraseñas
• Separación de privilegios (acceso de solo lectura frente a acceso de edición)

Lista blanca de IP:

• Restringir la gestión de DNS a IP conocidas
• Requisito de VPN para acceso remoto
• Procedimientos de acceso de emergencia documentados

Gestión de cambios:

• Todos los cambios registrados con marca de tiempo y usuario
• Proceso de aprobación de cambios para zonas críticas
• Pruebas automatizadas antes de la implementación en producción
• Procedimientos de reversión documentados

Seguridad de transferencia de zona:

Restricciones de AXFR/IXFR:

• Permitir solo desde servidores secundarios autorizados
• Control de acceso basado en IP
• TSIG (firmas de transacción) para autenticación
• Monitorear intentos de transferencia no autorizados

Monitoreo y alertas

Qué monitorear diariamente:

‍

Métricas de consulta:

• Volumen total de consultas
• Consultas por zona
• Tasa de NXDOMAIN
• Distribución por tipo de consulta

Métricas de rendimiento:

• Tiempo de respuesta promedio
• Tiempo de respuesta en el percentil 95
• Utilización de CPU/memoria del servidor
• Uso de ancho de banda de red

Métricas de seguridad:

• Intentos fallidos de autenticación
• Solicitudes de transferencia de zona
• Patrones de consulta inusuales
• Distribución de IP de origen

Configuración de alertas:

• Volumen de consultas >5 veces la línea base
• Tasa de NXDOMAIN >20% de las consultas
• Tiempo de respuesta >100ms
• IP única >1000 consultas/minuto
• Cualquier intento de transferencia de zona (si está deshabilitado)

Redundancia y respaldo

Redundancia del proveedor de DNS:

‍

Proveedores primario y secundario:

• Diferentes proveedores de alojamiento DNS
• Sincronización automática entre proveedores
• Infraestructura independiente
• Diversidad geográfica

Beneficios:

• Redundancia a nivel de proveedor
• Aislamiento ante ataques DDoS
• Flexibilidad en las ventanas de mantenimiento
• Protección contra caídas del proveedor

Copias de seguridad de archivos de zona:

• Copias de seguridad automáticas diarias
• Almacenamiento de copias fuera de las instalaciones
• Historial de versiones (más de 30 días)
• Pruebas trimestrales de procedimientos de restauración

Actividades de seguridad periódicas

Semanalmente:

• Revisar las tendencias del volumen de consultas
• Comprobar si hay patrones de tráfico inusuales
• Verificar la resolución DNS desde múltiples ubicaciones

Mensual:

• Auditar la precisión de los registros DNS
• Revisar y actualizar los umbrales de limitación de tasa
• Comprobar vulnerabilidades de secuestro de subdominios
• Revisar los registros de acceso

Trimestral:

• Probar la conmutación por error a proveedores DNS secundarios
• Realizar un ejercicio de simulación de respuesta ante incidentes DNS
• Revisar y actualizar las políticas de seguridad DNS
• Auditar los permisos de acceso de los usuarios

Anual:

• Evaluación completa de seguridad DNS
• Renovación de claves DNSSEC (si corresponde)
• Revisión del rendimiento del proveedor/vendedor
• Simulacro de recuperación ante desastres

Lista de verificación de seguridad DNS

✅ Protección: Protección DDoS permanente con Anycast
✅ DNSSEC: Activado y validado
✅ Redundancia: Múltiples servidores autoritativos en redes diferentes
✅ Monitoreo: Monitoreo continuo con alertas automatizadas
✅ Control de acceso: MFA, listas blancas de IP y registro de auditoría
✅ Limitación de tasa: Límites de tasa de consulta y respuesta configurados
✅ Transferencias de zona: Restringidas solo a servidores autorizados
✅ Copias de seguridad: Copias de seguridad automatizadas diarias de archivos de zona
✅ Pruebas: Simulacros trimestrales de conmutación por error y recuperación ante desastres
✅ Documentación: Manual de respuesta ante incidentes actualizado

Errores comunes de seguridad DNS que debe evitar

❌ Utilizar alojamiento DNS gratuito o básico sin protección contra DDoS
❌ Depender de un único proveedor de DNS (sin redundancia)
❌ Permitir transferencias de zona sin restricciones
❌ No tener configurada ninguna supervisión ni alertas
❌ Autenticación débil en la gestión de DNS
❌ Dejar registros DNS sin usar (riesgo de secuestro de subdominios)
❌ Ausencia de pruebas en los procedimientos de conmutación por error
❌ Ignorar el DNS en la planificación de recuperación ante desastres

‍

Conclusión clave: La seguridad del DNS no es algo que se configura y se olvida. Requiere supervisión constante, pruebas periódicas y una mejora continua para proteger esta infraestructura crítica.

‍