Problemas de seguridad DNS

El protocolo DNS es fundamental para el uso cotidiano de internet y, por ello, es uno de los objetivos favoritos de los hackers. En este artículo, describiremos los principales problemas de seguridad relacionados con el protocolo DNS y mostraremos cómo FlashStart ayuda a empresas, hogares y organizaciones a combatir los ataques DNS.

Qué es el protocolo DNS

DNS significa Domain Name System y se considera la guía telefónica de internet. Surgió de la necesidad de vincular los nombres de los sitios, que recordamos con relativa facilidad, con sus direcciones IP, es decir, las direcciones de Protocolo de Internet de cada sitio individual.

La necesidad de esta conexión se explica por el hecho de que, aunque recordemos el nombre de un sitio, el protocolo de internet solo reconoce direcciones numéricas. En este contexto, el protocolo DNS se encarga precisamente de convertir el nombre que recordamos en un número, para que podamos llegar al sitio de internet deseado.
El protocolo DNS funciona muy rápidamente porque se basa en mapeos de dominio preexistentes y actualizados constantemente. De esta manera, el usuario ni siquiera nota el proceso de “traducción” de letras a números, y, una vez que se escribe el nombre del sitio, el resolutor DNS lo busca en su caché local o, si no está disponible localmente, consulta directamente a un servidor DNS y luego redirige al usuario al sitio. Todo esto ocurre en fracciones de segundo.

¿Por qué atacar el protocolo DNS?

El protocolo DNS es un servicio fundamental para el uso público a gran escala de internet. De hecho, la mayoría de las comunicaciones, intercambios e información requieren este protocolo para completarse. Si el servicio de resolución no está disponible o funciona mal, la interrupción del servicio puede afectar a una amplia variedad de sitios y aplicaciones, con extensas reacciones en cadena.

Según el Global DNS Threat Report del 2021, realizado por IDC (International Data Corporation), el ochenta y siete por ciento de las organizaciones analizadas en 2021 fueron blanco de ataques DNS que costaron a las organizaciones afectadas un promedio de 950.000 dólares. Los ataques que resultaron en los costos más elevados fueron los dirigidos a organizaciones con sede en América del Norte, mientras que los mayores aumentos de daños a nivel geográfico se registraron en Malasia, India, España y Francia.

El informe también señala que, durante los años de la pandemia, las nubes corporativas se han convertido cada vez más en el objetivo de los ataques, ya que los hackers han aprovechado la mayor tendencia a utilizar infraestructuras y servicios que permiten el trabajo remoto. El cuarenta y siete por ciento de las empresas informa haber sufrido interrupciones en el acceso a la nube y a los servicios relacionados debido a problemas de seguridad DNS.

Finalmente, el informe destaca un notable aumento en el robo de datos a través de ataques al protocolo DNS. En concreto, el veintiséis por ciento de las organizaciones informó haber sufrido este tipo de robo en 2021, una cifra que en el año anterior era de solo el dieciséis por ciento.

Tipos de ataques DNS

Los ataques DNS pueden variar en su naturaleza. A continuación, proponemos una visión de los tipos más comunes de ataques relacionados con los problemas de seguridad DNS.

Túnel DNS

DNS tunneling es una técnica de ataque DNS que permite al ciberdelincuente crear un enlace con el ordenador de la víctima, un auténtico túnel entre el ordenador del hacker y el ordenador objetivo, que luego se utiliza para exfiltrar datos e información.

El hacker infecta el ordenador de la víctima prevista con malware, pero es difícil de detectar porque no bloquea las solicitudes DNS. El usuario entonces continúa enviando solicitudes al resolutor DNS con el fin de obtener direcciones IP, pero el resolutor reenvía las solicitudes al servidor del delincuente, desde donde comienza entonces el tunneling: se crea un corredor “seguro” con el ordenador de la víctima y se accede a él con fines maliciosos.

Amplificación de DNS

La amplificación de DNS es un tipo de ataque DNS que forma parte de la categoría de ataques DDoS – Denegación de Servicio Distribuida. En estos ataques, el ciberdelincuente apunta a un resolutor DNS público para saturar a la víctima con tráfico DNS.

Cuando la víctima solicita la dirección IP de un sitio, el hacker hace lo mismo, pero su solicitud genera paquetes de datos de una magnitud que sobrecarga el servidor hasta el punto de que ya no puede responder a las solicitudes de usuarios legítimos.

Ataques de inundación UDP

Los ataques de inundación UDP también son ataques de tipo DoS destinados a sobrecargar el servidor objetivo. En este caso, el ataque explota el Protocolo de Datagramas de Usuario (UDP), un protocolo caracterizado por hacer que la transmisión de datos sea lo más breve posible renunciando a ciertas verificaciones.

Durante un ataque UDP, el ciberdelincuente envía paquetes UDP con direcciones IP de remitente falsas a puertos aleatorios en el sistema de la víctima. El paquete UDP comprueba entonces si hay alguna aplicación escuchando en el puerto elegido, pero, dado que el envío es aleatorio, esto generalmente no es el caso. Debe entonces enviar un paquete ICMP – Protocolo de Mensajes de Control de Internet – a la dirección del remitente para informarle del problema, pero, dado que la dirección del remitente ha sido falsificada, estos paquetes terminan en un tercero no involucrado.

Al inundar a la víctima con paquetes UDP, el hacker sobrecarga el sitio web o servicio objetivo hasta que colapsa bajo el peso de todos los datos entrantes.

FlashStart previene los problemas de seguridad DNS

Dada la omnipresencia y los efectos de los ataques descritos anteriormente, es importante prevenirlos abordando los problemas de seguridad DNS desde la fuente: es decir, actuando directamente a nivel de DNS. FlashStart propone un filtro web basado en DNS que intercepta y bloquea todas las solicitudes sospechosas, garantizando la seguridad de su red, información y sistemas informáticos.

FlashStart: seguridad a nivel de DNS

El sistema de filtrado de FlashStart actúa a nivel de DNS: cuando un usuario escribe el nombre del sitio al que desea acceder, el filtro web de FlashStart verifica la solicitud del usuario y, según el resultado de esta verificación, decide si permite o no que se resuelva el dominio solicitado. Esto se conoce, por lo tanto, como inteligencia de amenazas DNS, un análisis de seguridad destinado a resaltar las amenazas web basadas en DNS.

La inteligencia de amenazas DNS de FlashStart se basa en listas predeterminadas disponibles en la nube de FlashStart, un repositorio que contiene millones de sitios categorizados por su contenido y divididos en peligrosos, inapropiados y distractores. Si el sitio al que el usuario desea acceder se encuentra entre los peligrosos, vinculados a malware, intentos de phishing y otros tipos de ciberataques, el filtro web bloquea la resolución del dominio.

FlashStart: inteligencia artificial al servicio de la ciberseguridad

Para analizar correctamente los sitios web e incluirlos en las listas de la nube, FlashStart escanea constantemente internet utilizando inteligencia artificial, un complejo mecanismo de algoritmos matemáticos basado en redes neuronales que imitan el razonamiento humano y toman decisiones respecto a la peligrosidad o no del material escaneado.

Gracias a la inteligencia artificial, FlashStart es capaz de analizar y catalogar correctamente hasta 200 mil sitios nuevos cada día en veinticuatro idiomas diferentes, garantizando una actualización continua. Los mecanismos de aprendizaje automático permiten entonces que el sistema aprenda de sus experiencias anteriores y, de esta manera, acelere el análisis con resultados cada vez más precisos.
La nube también garantiza que las actualizaciones estén siempre disponibles instantáneamente para el usuario final, de modo que, una vez que se detecta una amenaza, todos los usuarios de FlashStart quedan automáticamente protegidos de ella sin necesidad de descargar ningún tipo de actualización ni pasar por largos reinicios del sistema.

FlashStart: la solución a los problemas de seguridad DNS

El sistema de filtrado de FlashStart puede instalarse a nivel de router, proporcionando protección a todos los dispositivos conectados a la red, o a nivel de dispositivo individual a través de la aplicación ClientShield, protegiendo a todos los trabajadores de la organización, incluso a los que se conectan de forma remota.

Una vez instalado, FlashStart funciona de manera autónoma, bloqueando el tráfico entrante sospechoso y saliente, ya sea en forma de paquetes UDP, como se ha descrito anteriormente, enlaces a contenidos maliciosos de terceros, o sitios buscados por el usuario.

FlashStart: no solo malware

Sin embargo, FlashStart no solo bloquea malware y contenidos maliciosos. El administrador de la red también puede configurar el sistema para bloquear el acceso a:

• Contenidos inapropiados: se trata de contenidos relacionados con la pornografía, el juego online, la violencia, las drogas, etc., considerados inapropiados para el entorno desde el que se accede a internet.
• Contenidos que distraen: se trata de redes sociales, plataformas de streaming y contenido de audio, sitios de compras online, y todos aquellos sitios que pueden hacer que disminuya la eficiencia de los trabajadores.

Puedes activar la protección de FlashStart® Cloud en cualquier tipo de Router y Firewall para proteger dispositivos de escritorio, móviles y dispositivos IoT en redes locales.