Nueva herramienta protege a las organizaciones de los ataques NXDOMAIN

Los ataques al Sistema de Nombres de Dominio (DNS) son numerosos y variados, por lo que las organizaciones deben depender de múltiples capas Medidas de protecciónB. Monitoreo de tráfico, inteligencia de amenazas y firewalls de red avanzados para actuar juntos. A medida que aumentan los ataques a NXDOMAIN, las organizaciones necesitan fortalecer sus defensas de DNS.

Con el Lanzamiento del escudo NS53Akamai se suma a la creciente lista de proveedores de seguridad con herramientas DNS capaces de mitigar los ataques NXDOMAIN. El nuevo servicio extiende las tecnologías Edge DNS de Akamai en la nube a implementaciones locales.

En un ataque NXDOMAIN, también conocido como ataque DDoS DNS Water Torture, los atacantes sobrecargan el servidor DNS con una gran cantidad de solicitudes de dominios y subdominios inexistentes (de ahí el prefijo NX) o no válidos. El servidor proxy DNS consume la mayoría, si no todos, los recursos que consultan al servidor DNS autorizado, hasta el punto en que el servidor ya no puede manejar solicitudes legítimas o falsas. Más solicitudes basura que llegan al servidor significan que se necesitan más recursos (CPU del servidor, ancho de banda de red y memoria) para procesarlas, y las solicitudes legítimas toman más tiempo para procesarse. Si los usuarios no pueden acceder al sitio web debido a errores de NXDOMAIN, puede causar problemas pérdida de clientes, pérdida de ingresos y daño a la reputación.

«NXDOMAIN ha sido un vector de ataque común durante muchos años y se está convirtiendo en un problema creciente», afirmó Jim Gilbert, director de gestión de productos de Akamai. Akamai descubrió el año pasado que el 40% del total de consultas de DNS para sus 50 principales clientes de servicios financieros contenían registros NXDOMAIN.

Protección DNS reforzada

Aunque teóricamente es posible mitigar los ataques DNS agregando más capacidad (más recursos significan que se necesitan ataques más grandes y más prolongados para derribar servidores), este no es un enfoque técnico financieramente viable o escalable para la mayoría de las organizaciones. Pero también puedes mejorar tu protección DNS de otras maneras.

Los defensores empresariales deben asegurarse de comprender su entorno DNS. Esto significa documentar dónde se implementan actualmente los solucionadores de DNS, cómo interactúan con ellos los recursos locales y en la nube, y cómo aprovechan servicios avanzados como Anycast y los protocolos de seguridad DNS.

«Puede haber buenas razones de cumplimiento para que las organizaciones quieran mantener sus recursos DNS originales en las instalaciones», dice Gilbert de Akamai, señalando que Shield NS53 permite a las organizaciones agregar controles de protección mientras mantiene intacta la infraestructura DNS existente.

La protección de DNS también debería ser parte de una estrategia integral de prevención de denegación de servicio distribuido (DDoS), ya que muchos ataques DDoS comienzan con exploits de DNS. Según Akamai, casi dos tercios de los ataques DDoS del año pasado utilizaron algún tipo de exploit DNS.

Antes de realizar una compra, los gerentes de seguridad deben comprender tanto el alcance como las limitaciones de la posible solución que están evaluando. Por ejemplo, si bien los servicios de seguridad DNS de Palo Alto cubren una amplia gama de exploits DNS además de NXDOMAIN, los clientes sólo reciben esta protección integral si tienen el firewall de próxima generación del proveedor y se suscriben a su servicio de prevención de amenazas.

Las defensas del DNS también deben estar vinculadas a un sólido servicio de inteligencia contra amenazas para que los defensores puedan detectar y responder rápidamente a posibles ataques y reducir los falsos positivos. Proveedores como Akamai, Amazon Web Services, Netscout, Palo Alto e Infoblox operan grandes redes de recopilación de telemetría que ayudan a sus herramientas de protección DNS y DDoS a detectar un ataque.

La Agencia de Seguridad de Infraestructura y Ciberseguridad ha elaborado una serie de recomendaciones de acción Esto incluye agregar autenticación multifactor a las cuentas de sus administradores de DNS, así como monitorear los registros de certificados e investigar cualquier discrepancia.