A cosa serve un DNS bypass?

Il Domain Name System (DNS) è un elemento fondamentale dell’infrastruttura di Internet, con il compito essenziale di tradurre i nomi di dominio leggibili dagli utenti in indirizzi IP comprensibili dalle macchine.

Pensiamo a Google: tutti ricordiamo facilmente l’indirizzo google.it, mentre sarebbe estremamente difficile memorizzare un indirizzo come 87.22.11.2.

Senza contare che, dietro a realtà come Google o Facebook, vi sono centinaia di indirizzi IP differenti a cui veniamo reindirizzati automaticamente in base a specifiche esigenze di rete (manutenzione dei server, velocità di risposta, carico di lavoro…).

Ed è qui che l’infrastruttura DNS viene in soccorso, facendo da ponte tra le esigenze umane e le logiche delle macchine.

Ma per quale motivo si dovrebbe configurare un DNS bypass?

Esaminiamo le ragioni principali:

Censura e restrizioni geografiche

Alcuni governi o organizzazioni possono imporre blocchi all’accesso a determinati siti o contenuti in base alla posizione geografica. Un DNS bypass può essere impiegato per aggirare queste restrizioni e accedere a risorse altrimenti non disponibili in una specifica regione. Si pensi, ad esempio, alla Cina, che blocca a livello nazionale gran parte dei contenuti occidentali (un esempio citato a titolo puramente informativo, dato che la realizzazione pratica di tale bypass in contesti simili richiede configurazioni complesse).

Privacy e restrizioni aziendali

Ogni provider Internet (ISP) gestisce i propri server DNS e, attraverso di essi, è in grado di tracciare le richieste di navigazione degli utenti. I server DNS contengono infatti lo “storico” dei domini consultati. Per questo motivo, alcuni utenti scelgono di configurare un DNS bypass per proteggere la propria riservatezza, affidandosi a risolutori più sicuri (come, ad esempio, i servizi offerti da Cloudflare).

Allo stesso modo, un DNS bypass viene talvolta utilizzato da chi desidera eludere i filtri di una rete aziendale, ad esempio per consultare le proprie piattaforme social durante le ore di lavoro.

Velocità e prestazioni

In alcune circostanze, un DNS bypass può essere adottato per ottimizzare la velocità di connessione, puntando a risolutori più rapidi rispetto a quelli standard forniti dal gestore telefonico. Va tuttavia ricordato che la differenza tra i principali resolver DNS si gioca nell’ordine dei millisecondi, pertanto non ci si deve attendere un raddoppio della velocità complessiva della banda.

Quali sono le principali tecniche di DNS bypass?

La tecnica più comune (e immediata) consiste nell’utilizzo di DNS alternativi. Anziché impiegare i resolver forniti dall’ISP, l’utente modifica semplicemente le impostazioni della scheda di rete sul proprio dispositivo inserendo i server desiderati. Questo rappresenta l’esempio più semplice di DNS bypass.

Per gli utenti con competenze informatiche più avanzate, l’impiego di una VPN costituisce un’ottima strategia di bypass. Le reti private virtuali instradano il traffico Internet attraverso server remoti, cifrando la connessione e nascondendo l’indirizzo IP reale. Questo metodo non solo consente il DNS bypass, ma aggiunge un importante livello di sicurezza e riservatezza alla connessione (a patto di affidarsi a provider autorevoli e non a soluzioni VPN gratuite e poco trasparenti).

Un’ulteriore modalità di bypass è rappresentata dai server proxy, che agiscono da intermediari tra l’utente e i server di destinazione. Modificando le impostazioni del browser o del sistema operativo, il traffico viene instradato attraverso il proxy, ignorando il DNS dell’ISP.

Infine, a livello locale, è possibile agire direttamente sul file hosts del sistema operativo. Modificando manualmente questo file, l’utente può associare direttamente un nome di dominio a uno specifico indirizzo IP, bypassando del tutto la fase di risoluzione DNS.

Comprese le modalità di esecuzione, è fondamentale analizzarne le implicazioni sul piano operativo e della sicurezza.

Concentrandoci sugli aspetti di cibersicurezza: l’utilizzo di server DNS alternativi, VPN o proxy non verificati può comportare rischi significativi. L’utente deve infatti riporre totale fiducia nel fornitore di tali servizi, poiché tutto il traffico di rete passerà attraverso la sua infrastruttura.

Non è un caso che diversi attacchi cyber di tipo Man-in-the-Middle si basino proprio su tecniche di DNS bypass fraudolento per reindirizzare le vittime verso siti di phishing o veicolare malware.

A ciò si aggiunge l’aspetto delle policy aziendali. Se un’organizzazione ha vietato l’accesso a determinate risorse, ricorrere al DNS bypass per violare tali regole costituisce una condotta non conforme. In questi contesti, spetta all’amministratore di rete implementare le adeguate configurazioni sul router o sul firewall per impedire che un semplice DNS bypass comprometta le regole di sicurezza stabilite.

Conclusione

In conclusione, il DNS bypass è una pratica adottata per diverse ragioni, dalla tutela della privacy all’ottimizzazione delle prestazioni di rete, ma richiede una chiara comprensione delle metodologie e dei rischi associati. In ambito aziendale, la priorità è garantire che le richieste DNS siano gestite secondo policy di sicurezza definite, evitando che l’utilizzo di resolver non autorizzati comprometta la protezione della rete.

L’adozione di soluzioni avanzate di DNS Filtering, come FlashStart, insieme a un’adeguata configurazione dell’infrastruttura di rete, rappresenta quindi un elemento importante per rafforzare la sicurezza, mantenere il controllo della navigazione e proteggere la continuità operativa.

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere i dispositivi desktop e mobile e i dispositivi IoT sulle reti locali.

Domande frequenti sul DNS bypass

1. Che cos’è un DNS bypass?

Il DNS bypass è una tecnica che permette di aggirare i server DNS predefiniti di una rete, utilizzando sistemi alternativi per la risoluzione dei nomi di dominio. Può essere impiegato per superare restrizioni di accesso, modificare le modalità di navigazione o utilizzare resolver DNS differenti da quelli configurati dall’amministratore di rete.

2. Il DNS bypass è pericoloso per la sicurezza aziendale?

Il DNS bypass non è necessariamente pericoloso, ma può introdurre rischi significativi quando viene utilizzato per eludere le policy di sicurezza aziendali. In particolare, può consentire l’accesso a domini malevoli, siti di phishing o contenuti bloccati dai sistemi di DNS Filtering, riducendo la visibilità e il controllo degli amministratori IT.

3. Come impedire il DNS bypass in una rete aziendale?

Per limitare il DNS bypass è necessario configurare opportunamente firewall, router e policy di rete, impedendo l’utilizzo di resolver DNS non autorizzati. È inoltre importante gestire il traffico DNS cifrato, come DNS over HTTPS (DoH) e DNS over TLS (DoT), che potrebbe essere utilizzato per aggirare i controlli tradizionali. L’integrazione di una soluzione di DNS Filtering contribuisce a rafforzare la protezione della navigazione.

4. Qual è la differenza tra DNS bypass e DNS Filtering?

Il DNS bypass consiste nell’aggirare il sistema di risoluzione DNS previsto da una rete, mentre il DNS Filtering è una tecnologia di sicurezza che analizza le richieste DNS e applica policy per bloccare l’accesso a domini pericolosi o non autorizzati. Le due tecniche hanno quindi finalità differenti: il DNS bypass modifica il percorso di risoluzione, mentre il DNS Filtering contribuisce a proteggere e controllare la navigazione.

5. Una VPN può aggirare il filtro DNS aziendale?

Sì, in determinate configurazioni una VPN può consentire di utilizzare resolver DNS esterni alla rete aziendale, aggirando così i controlli DNS locali. Tuttavia, questo comportamento dipende dalla configurazione della VPN, dalle policy di sicurezza e dalle regole applicate sul firewall. Per ridurre il rischio è necessario adottare controlli adeguati anche sul traffico VPN non autorizzato.

6. Come può FlashStart contribuire alla protezione contro il DNS bypass?

FlashStart offre una soluzione di DNS Filtering in cloud che permette di applicare policy di navigazione e bloccare preventivamente l’accesso a domini malevoli attraverso tecnologie di Intelligenza Artificiale e Machine Learning. Integrando FlashStart con router, firewall e configurazioni di rete che limitano l’utilizzo di resolver alternativi, le aziende possono rafforzare la propria strategia di DNS Security e ridurre i rischi associati al DNS bypass