Segurança de DNS

Uma segurança DNS eficaz exige múltiplas camadas de proteção.

Proteção DDoS para DNS

Proteção contínua: O DNS não pode sofrer atrasos de ativação — a proteção deve ser ininterrupta.

‍

Requisitos principais:

• Capacidade massiva: Suporte a ataques de nível Tbps
• Distribuição global: Rede Anycast para distribuição de carga
• Filtragem inteligente: Diferencia consultas legítimas de maliciosas
• Resposta em milissegundos: Mantém a resolução rápida de consultas durante ataques

Mecanismos de proteção:

‍

Limitação de taxa de consulta:

• Limita consultas por IP de origem
• Previne inundações de origem única
• Limiares ajustáveis por zona

Limitação de Taxa de Resposta (RRL):

• Controla o volume de respostas de saída
• Impede que seu DNS seja usado como amplificador
• Protege contra ataques de amplificação

Limpeza de Tráfego:

• Encaminha o tráfego DNS através de centros de limpeza
• Filtra consultas maliciosas antes de chegarem aos servidores autoritativos
• Retorna apenas consultas limpas

Arquitetura de Rede Anycast

O que é Anycast? Vários servidores compartilham o mesmo endereço IP em diferentes localizações geográficas. O roteamento de rede direciona automaticamente os usuários para o servidor mais próximo ou ideal.

‍

Benefícios para DNS:

‍

Distribuição de Carga:

• Tráfego de ataque distribuído por várias localizações
• Nenhum ponto único recebe o ataque inteiro
• Ataques localizados contidos regionalmente

Failover Automático:

• Se uma localização ficar sobrecarregada, o tráfego é roteado para as outras
• Sem necessidade de intervenção manual
• Redundância integrada

Desempenho:

• Os usuários consultam o servidor DNS mais próximo
• Menor latência global
• Melhor experiência do usuário

Mitigação de ataques:

• Ataque de 1 Tbps distribuído em 20 locais = 50 Gbps por local (gerenciável)
• O isolamento geográfico contém ataques regionais

DNSSEC (Extensões de Segurança de DNS)

O que é DNSSEC? Assinaturas criptográficas verificam se as respostas de DNS são autênticas e não foram modificadas.

‍

Como funciona:

• As zonas de DNS são assinadas digitalmente
• Os resolvedores verificam as assinaturas usando chaves públicas
• Respostas inválidas ou não assinadas são rejeitadas

Contra o que o DNSSEC protege:

• Envenenamento de cache
• Ataques de interceptação (man-in-the-middle)
• Falsificação de resposta DNS

O que o DNSSEC NÃO protege:

• Ataques DDoS
• Comprometimento do servidor DNS
• Sequestro por meio de credenciais roubadas

Considerações de implementação:

• Requer gerenciamento de chaves
• Processo de assinatura de zona
• O resolvedor deve validar (nem todos fazem isso)
• Ligeiro aumento no tamanho da resposta

Melhor prática: O DNSSEC complementa a proteção contra DDoS — utilize ambos em conjunto.

Filtragem em várias camadas

Camada 1: Filtragem de reputação de IP

• Bloqueio de IPs de origem maliciosos conhecidos
• Feeds de inteligência contra ameaças
• Pontuação de reputação em tempo real

Camada 2: Filtragem geográfica

• Bloqueio ou limitação de taxa de consultas de regiões específicas
• Útil quando os ataques se originam de áreas concentradas
• Atenção: pode afetar usuários internacionais legítimos

Camada 3: Análise de Padrões de Consulta

• Detectar padrões de ataque NXDOMAIN
• Identificar geração aleatória de subdomínios
• Sinalizar consultas a domínios fantasma

Camada 4: Limitação de Taxa

• Limites de consulta por IP de origem
• Limites de consulta por zona
• Limitação de taxa de resposta

Camada 5: Inspeção de Carga Útil

• Validar estrutura da consulta
• Bloquear consultas malformadas
• Filtrar solicitações de tipos de registro suspeitos

Estratégias de Redundância de DNS

Múltiplos Servidores Autoritativos:

• Mínimo de 3 a 4 servidores de nomes por zona
• Distribuídos entre redes e localizações geográficas
• Provedores/infraestrutura diferentes

Provedores de DNS Secundário:

• Utilizar múltiplos provedores de hospedagem DNS
• Infraestruturas/redes diferentes
• Failover automático entre provedores

Configuração de Master Oculto:

• Servidores de nomes públicos não aceitam consultas
• Consultas respondidas por secundários protegidos
• Servidor master oculto de atacantes

Monitoramento e Detecção

O que monitorar:

‍

Volume de consultas:

• Taxas normais de consulta de referência
• Alertar sobre picos repentinos
• Rastrear consultas por zona

Tipos de consulta:

• Distribuição de consultas A, AAAA, MX, TXT
• Solicitações de tipos de registro incomuns
• Volumes de consulta ANY (frequentemente usados em amplificação)

Taxa de NXDOMAIN:

• Porcentagem de consultas que retornam NXDOMAIN
• Aumentos repentinos indicam ataques de NXDOMAIN

Tempos de resposta:

• Tempo médio de resolução de consultas
• A degradação indica esgotamento de recursos

Distribuição da origem:

• Origens geográficas das consultas
• Taxas de consulta por IP
• Detecção de padrões de botnet

Limites de alerta:

• 5x o volume base de consultas
• 10x a taxa normal de NXDOMAIN
• Degradação do tempo de resposta >100ms
• IP único >1000 consultas/minuto

Controle de acesso

Proteção de transferência de zona:

• Restringir AXFR/IXFR apenas a servidores autorizados
• Dados de zona não devem ser transferíveis publicamente
• Reduz oportunidades de reconhecimento

Restrições de consulta:

• Desativar recursão em servidores autoritativos
• Limitar origens de consulta, se apropriado
• Bloquear QUAISQUER consultas (frequentemente usadas em amplificação)

Acesso de Gerenciamento:

• Autenticação multifator obrigatória
• Lista de permissões de IP para gerenciamento de DNS
• Registro de auditoria de todas as alterações
• Revisão periódica de acesso

Resposta a Incidentes

Manual de Ataque DNS:

‍

Detecção:

• Alertas de monitoramento automatizados
• Pico de volume de consultas detectado
• Degradação do tempo de resposta

Resposta Inicial:

• Verificar se é ataque ou pico de tráfego legítimo
• Identificar o tipo de ataque (inundação de consultas, NXDOMAIN, amplificação)
• Ativar filtragem adicional, se necessário

Mitigação:

• Aplicar regras de filtragem apropriadas
• Aumentar temporariamente os limites de taxa (rate limiting)
• Failover para provedores redundantes, se necessário

Comunicação:

• Atualizar página de status
• Notificar as partes interessadas
• Comunicação externa, se necessário

Recuperação:

• Verificar se o ataque diminuiu
• Restaurar políticas de filtragem normais
• Monitorar para evitar recorrência

Pós-incidente:

• Documentar as características do ataque
• Avaliar a eficácia da mitigação
• Atualizar regras de filtragem
• Aprimorar limites de detecção

Conclusão principal: A proteção de DNS exige mitigação de DDoS sempre ativa, distribuição Anycast, DNSSEC, filtragem em várias camadas e monitoramento abrangente trabalhando em conjunto.

‍