Problemi di sicurezza DNS

Il protocollo DNS è fondamentale per l’uso quotidiano di internet e, quindi, è un bersaglio favorito degli hacker. In questo articolo, illustreremo i principali problemi di sicurezza legati al protocollo DNS e mostreremo come FlashStart aiuta aziende, famiglie e organizzazioni a combattere gli attacchi DNS.

Che cos’è il protocollo DNS

DNS sta per Domain Name System ed è considerato l’elenco telefonico di internet. È nato dalla necessità di collegare i nomi dei siti, che ricordiamo relativamente facilmente, ai loro indirizzi IP, in altre parole, gli indirizzi del Protocollo Internet di ogni singolo sito.

La necessità di questa connessione è spiegata dal fatto che, anche se ricordiamo il nome di un sito, il protocollo internet riconosce solo indirizzi numerici. In questo contesto, il protocollo DNS si occupa precisamente della conversione del nome che ricordiamo in un numero, in modo che possiamo raggiungere il sito internet desiderato.
Il protocollo DNS funziona molto velocemente perché si affida a mappature di domini pre-esistenti e costantemente aggiornate. In questo modo l’utente non nota nemmeno il processo di “traduzione” da lettere a numeri, e, una volta digitato il nome del sito, il risolutore DNS lo cerca nella sua cache locale o, se non disponibile localmente, interroga direttamente un server DNS e quindi reindirizza l’utente al sito. Tutto questo accade in frazioni di secondo.

Perché attaccare il protocollo DNS?

Il protocollo DNS è un servizio fondamentale per l’uso pubblico su larga scala di internet. In realtà, la maggior parte delle comunicazioni, degli scambi e delle informazioni richiedono questo protocollo per essere completati. Se il servizio di risoluzione non è disponibile o non funziona correttamente, l’interruzione del servizio può interessare un’ampia varietà di siti e applicazioni, con estese reazioni a catena.

Secondo il Global DNS Threat Report del 2021, condotto dall’IDC (International Data Corporation), l’87% delle organizzazioni analizzate nel 2021 è stato bersaglio di attacchi DNS che hanno costato alle organizzazioni vittime una media di $950.000. Gli attacchi che hanno comportato i costi più elevati sono stati quelli verso le organizzazioni con sede in Nord America, mentre i maggiori aumenti dei danni a livello geografico si sono registrati in Malesia, India, Spagna e Francia.

Il rapporto sottolinea inoltre che, durante gli anni della pandemia, i cloud aziendali sono diventati sempre più bersaglio di attacchi, poiché gli hacker hanno approfittato della crescente tendenza a utilizzare infrastrutture e servizi che consentono il lavoro remoto. Il 47% delle aziende riferisce di aver subito interruzioni nell’accesso al cloud e ai servizi correlati a causa di problemi di sicurezza DNS.

Infine, il rapporto evidenzia un marcato aumento del furto di dati attraverso attacchi al protocollo DNS. In particolare, il 26% delle organizzazioni ha riferito di aver subito tale furto nel 2021, una cifra che era solo del 16% nell’anno precedente.

Tipi di attacchi DNS

Gli attacchi DNS possono variare in natura. Di seguito, proponiamo una visione dei tipi più comuni di attacchi legati ai problemi di sicurezza DNS.

DNS tunneling

DNS tunneling è una tecnica di attacco DNS che consente al criminale informatico di creare un collegamento al computer della vittima, una vera e propria galleria tra il computer dell’hacker e il computer bersaglio, che viene poi utilizzata esfiltrarsi dati e informazioni.

L’hacker infetta il computer della vittima prevista con malware, ma è difficile da rilevare perché non blocca le richieste DNS. L’utente continua quindi a inviare richieste al risolutore DNS per ottenere indirizzi IP, ma il risolutore inoltra le richieste al server del criminale, da dove inizia il tunneling: un corridoio “sicuro” viene creato con il computer della vittima e utilizzato per scopi dannosi.

Amplificazione DNS

Amplificazione DNS è un tipo di attacco DNS che fa parte della categoria degli attacchi DDoS – Distributed Denial of Service. In questi attacchi, il criminale informatico prende di mira un risolutore DNS pubblico per travolgere la vittima con traffico DNS.

Quando la vittima richiede l’indirizzo IP di un sito, l’hacker fa altrettanto, ma la sua richiesta genera pacchetti di dati di una grandezza tale da sovraccaricare il server fino al punto che non è più in grado di rispondere alle richieste degli utenti legittimi.

Attacchi UDP flood

Attacchi UDP flood sono anche attacchi di tipo DoS destinati a sovraccaricare il server di destinazione. In questo caso, l’attacco sfrutta il protocollo User Datagram Protocol (UDP – un protocollo caratterizzato dal rendere la trasmissione dei dati il più breve possibile rinunciando a determinati controlli.

Durante un attacco UDP, il criminale informatico invia pacchetti UDP con indirizzi IP del mittente falsificati a porte casuali sul sistema della vittima. Il pacchetto UDP controlla quindi se ci sono applicazioni in ascolto sulla porta scelta, ma, poiché l’invio è casuale, di solito non è così. Deve quindi inviare un pacchetto ICMP – Internet Control Message Protocol – all’indirizzo del mittente per informarlo del problema, ma, poiché l’indirizzo del mittente è stato falsificato, questi pacchetti finiscono a una terza parte non coinvolta.

Inondando la vittima con pacchetti UDP, l’hacker sovraccarica il sito web o il servizio di destinazione fino al punto che crolla sotto il peso di tutti i dati in arrivo.

FlashStart previene i problemi di sicurezza DNS

Data la pervasività e gli effetti degli attacchi descritti sopra, è importante prevenirli affrontando i problemi di sicurezza DNS alla fonte: cioè, agendo direttamente a livello DNS. FlashStart propone un filtro web basato su DNS che intercetta e blocca tutte le richieste sospette, garantendo la sicurezza della tua rete, delle informazioni e dei sistemi informatici.

FlashStart: sicurezza a livello DNS

Il sistema di filtraggio di FlashStart agisce a livello DNS: quando un utente digita il nome del sito che vuole raggiungere, il filtro web di FlashStart verifica la richiesta dell’utente e, in base al risultato di questa verifica, sceglie se consentire o meno la risoluzione del dominio richiesto. Questo è, quindi, denominato threat intelligence DNS, un’analisi di sicurezza volta a evidenziare le minacce web basate su DNS.

La threat intelligence DNS di FlashStart si basa su elenchi predeterminati disponibili nel cloud di FlashStart, un repository che contiene milioni di siti categorizzati per contenuto e divisi in pericolosi, inappropriati e distraenti. Se il sito che l’utente vuole accedere è tra quelli pericolosi, collegati a malware, tentativi di phishing e altri tipi di attacchi informatici, il filtro web blocca la risoluzione del dominio.

FlashStart: intelligenza artificiale al servizio della cybersecurity

Al fine di analizzare correttamente i siti web e introdurli negli elenchi nel cloud, FlashStart scansiona costantemente Internet utilizzando l’intelligenza artificiale, un complesso meccanismo di algoritmi matematici basati su reti neurali che imitano il ragionamento umano e prendono decisioni riguardanti la pericolosità del materiale scansionato.

Grazie all’intelligenza artificiale, FlashStart è in grado di analizzare e catalogare correttamente fino a 200 mila nuovi siti al giorno in venti lingue diverse, garantendo un aggiornamento continuo. I meccanismi di machine learning permettono quindi al sistema di imparare dalle sue esperienze precedenti e, di conseguenza, accelerare l’analisi con risultati sempre più accurati.
Il cloud garantisce inoltre che gli aggiornamenti siano sempre istantaneamente disponibili per l’utente finale, quindi, una volta evidenziata una minaccia, tutti gli utenti di FlashStart sono automaticamente protetti da essa senza la necessità di scaricare nessun tipo di aggiornamento o subire lunghi riavvii del sistema.

FlashStart: la soluzione ai problemi di sicurezza DNS

Il sistema di filtraggio di FlashStart può essere installato a livello di router, fornendo protezione per tutti i dispositivi connessi alla rete, oppure a livello di singolo dispositivo tramite l’applicazione ClientShield, proteggendo tutti i lavoratori dell’organizzazione, anche quelli connessi da remoto.

Una volta installato, FlashStart funziona autonomamente, bloccando il traffico in entrata sospetto e in uscita, che si tratti di pacchetti UDP, come descritto sopra, link a contenuti maligni da terze parti, o siti cercati dall’utente.

FlashStart: non solo malware

Tuttavia, FlashStart non blocca solo malware e contenuti maligni. Il sistema può anche essere configurato dall’amministratore di rete per bloccare l’accesso a:

• Contenuti inappropriati: si tratta di contenuti relativi a pornografia, gioco d’azzardo online, violenza, droga, ecc., ritenuti inappropriati per l’ambiente da cui si accede a Internet.
• Contenuti distraenti: si tratta di social network, piattaforme di streaming e contenuti audio, siti di shopping online, e tutti quei siti che possono causare un declino dell’efficienza dei lavoratori.

Puoi attivare la protezione cloud FlashStart® su qualsiasi Router e Firewall per proteggere dispositivi desktop, mobile e dispositivi IoT su reti locali.