DNS sicuro: cos’è e perché è importante

Il DNS sicuro è un componente critico di qualsiasi servizio di sicurezza. Anche se sentiamo poco parlare di exploit tramite DNS, la minaccia è costante. In questo articolo, cercheremo di chiarire perché è importante conoscere cos’è un DNS, come viene attaccato, e cosa controllare per scegliere il miglior strumento DNS sicuro.

Cos’è un DNS

L’acronimo DNS sta per Domain Name System ed è tipicamente paragonato a un elenco telefonico. In un elenco telefonico, il nome di una persona è associato a un numero di telefono. Nei sistemi di nomi di dominio (DNS), l’IP di un computer è associato al nome di dominio di un sito. Ogni computer è identificato sul web da un Internet Protocol (IP), inclusi quelli (server) che contengono i file che compongono il sito internet.

Ad esempio, il dominio/sito “flashstart.com” corrisponde all’IP 151.139.128.11. Cioè, il computer che ospita il sito “flashstart.com” e altri siti ha quell’indirizzo di rete. Quando un utente decide di connettersi al sito internet “flashstart.com”, digita “flashstart.com” sulla barra degli indirizzi del suo programma di navigazione (ad es. Google Chrome). Il suo computer, però, non comprende questo linguaggio; capisce solo i numeri. A questo punto è il programma di navigazione che istantaneamente converte la richiesta da un nome di dominio a un indirizzo IP, attraverso un servizio chiamato resolver. Questo indirizzo raggiunge il router, o gateway della rete aziendale. Il router, a sua volta, registra l’indirizzo IP e invia la richiesta nello spazio cibernetico.

Da quel momento in poi, c’è un passaggio di richieste (dove devo andare per trovare il computer 151.139.128.11?) da un server all’altro, finché non si ottiene una risposta. A quel punto, finalmente, l’utente vedrà il sito “flashstart.com” nel suo browser. Questo sembra un processo lungo, ma in realtà l’arco temporale è solo di pochi millisecondi.

E, di fatto, nessuno si accorge che la richiesta è passata attraverso una serie di server (hop). Ad esempio, il percorso da questo computer a 151.139.128.11 ha richiesto nove hop, di cui il più lento è stato dodici millisecondi e il più veloce–dal mio computer al mio router domestico–meno di un millisecondo.

Durante il viaggio dal computer dell’utente al server che ospita il sito richiesto, vengono incontrati diversi DNS. I cosiddetti elenchi telefonici vengono utilizzati per verificare, ad ogni hop, che la richiesta per nome di dominio corrisponda all’indirizzo IP del server incontrato lungo il percorso e non a quello richiesto.

DNS iterativi e ricorsivi

Le richieste al DNS sono di due tipi, interne ed esterne. La richiesta interna viene effettuata all’interno di una rete aziendale, o nella transizione dal computer al router domestico. Quella esterna, invece, si verifica al di fuori della rete aziendale, cioè dal momento in cui la richiesta lascia le mura domestiche o il perimetro della rete e prende il percorso di Internet. La richiesta esterna ha ancora luogo e, come accennato, questo accade nei vari hop finché non viene trovata una corrispondenza. A quel punto, entrano in gioco diversi DNS, e il controllo può essere iterativo o ricorsivo.

Nel caso del DNS iterativo, il server interno – il server del provider Internet – comunica direttamente con ogni server DNS esterno, a turno, finché non ottiene l’indirizzo IP del server. Nel caso del DNS ricorsivo, il server interno comunica con un server DNS esterno “ricorsivo”, che poi comunica con altri server contemporaneamente al fine di recuperare l’indirizzo IP, ancora dai server che incontra lungo il percorso.

Inoltre a un server dove è ospitato un DNS, entra in gioco anche un server DHCP (Dynamic Host Control Protocol). DHCP assegna dinamicamente gli indirizzi IP alle nuove risorse quando si uniscono alla rete. La combinazione di DNS e DHCP risulta in un DNS dinamico, un componente essenziale di qualsiasi rete aziendale. Con un DNS dinamico, ogni volta che il server DHCP assegna un indirizzo IP a un nuovo server, scrive anche l’indirizzo IP nella tabella host del server in modo che venga registrata una corrispondenza (mapping).

Senza questo processo, un indirizzo IP verrebbe assegnato automaticamente alle nuove risorse al momento della connessione, ma il server non saprebbe che sono lì. Di conseguenza, qualcuno che cerchi di connettersi al server utilizzando il suo nome di dominio non potrebbe farlo perché il server non saprebbe dove instradare la richiesta.

Ed è a questo punto che entrano in gioco i problemi di sicurezza del protocollo DNS.

Se hai già attivato FlashStart, leggi questa guida che spiega come estendere le blacklist per il filtraggio DNS su Internet.

Perché è meglio utilizzare un DNS sicuro

I DNS non sono sicuri per definizione, il che significa che il protocollo DNS non è tenuto a verificare se il sito a cui si accede è dannoso. Non è supposto verificare se il sito richiesto contiene pornografia infantile o materiale di natura offensiva. Più di questo, a priori non si può sapere se il sito contiene elementi dannosi che possono causare malware o un Trojan. Ancora, non si può sapere se è un sito di phishing.

Filtrare le richieste di accesso al sito da parte di un dipendente aziendale, uno studente in una scuola, qualcuno che naviga da una biblioteca pubblica, o un minore è critico, non solo per prevenire che l’utente finisca su siti offensivi di qualsiasi tipo ma, più importantemente, per evitare di incappare in attacchi alla rete di computer.

La stragrande maggioranza degli attacchi alle reti aziendali e ai computer domestici avviene dopo aver fatto clic su un collegamento. Il collegamento può essere contenuto in un’email, un messaggio di chat o un messaggio di testo, e la sua genuinità non viene verificata a priori. Ad esempio, gli strumenti di protezione della navigazione contenuti in Google Chrome, o servizi Internet come YouTube, non sono sufficienti perché sono limitati a proteggere la navigazione solo attraverso quel browser o su quel particolare servizio. Eppure, chi può proteggerci dal fare clic su un collegamento ricevuto via email o chat?

L’avvelenamento DNS aggiunge anche a questo enorme rischio. Questo si riferisce a cyberattacchi specifici e molto diffusi, che purtroppo sono discussi molto poco. Fondamentalmente, i criminali informatici possono modificare le tabelle DNS contenute nei server che una richiesta visita. La modifica è semplice: sostituire l’indirizzo IP con un altro in modo che il DNS reindizzi a un sito diverso da quello richiesto, ma il DNS non può sapere questo!

Quindi, l’importanza dell’utilizzo di un DNS Sicuro è ovvia, un servizio DNS al quale viene aggiunta la protezione della navigazione. E come viene attivato? Scegliendo un filtro DNS. Il servizio è inserito tra la richiesta dell’utente e il sito e protegge l’utente da qualsiasi spiacevole sorpresa.

Cosa deve avere un servizio DNS sicuro

Un filtro DNS deve avere determinate proprietà relative alle tabelle di associazione IP-nome di dominio. Un’azienda, una scuola, o un’istituzione pubblica che decide di proteggere la navigazione di dipendenti e utenti può scegliere un servizio di filtraggio tramite DNS e dormire sonni tranquilli. In particolare, l’utente dovrebbe assicurarsi che il servizio abbia queste caratteristiche:

• Aggiornamento frequente delle blacklist, quelle liste dove finiscono i siti che dovrebbero essere assolutamente evitati, e garantire una latenza bassa (il tempo tra la richiesta e l'”ottenimento” del sito)
• Capacità di personalizzare il filtro in base alle tue esigenze di blocco dei siti
• Ampia categorizzazione dei siti dannosi, così come il geoblocking, un servizio di blocco basato su dove risiede il sito che esclude i paesi considerati pericolosi dalle blacklist
• Uso dell’intelligenza artificiale per blacklist di qualità superiore, evitando così il blocco dei siti “puliti”
• Facilità di configurazione e personalizzazione (eventualmente fornita da un partner certificato del produttore del filtro DNS)

Il filtraggio DNS di FlashStart supporta fino a ottantacinque diverse categorie di contenuti e dichiara una latenza minima molto bassa. Utilizza inoltre algoritmi di intelligenza artificiale per accelerare la raccolta di dati su DNS, domini e contenuti, “imparando” dall’analisi dei siti e prevedendo quali altri potrebbero rischiare di essere bloccati.

I partner di tutto il mondo che offrono il filtro DNS di FlashStart concordano sul fatto che la facilità di configurazione e personalizzazione del servizio è una delle sue caratteristiche principali. Il filtro DNS di FlashStart si integra inoltre nativamente con Active Directory di Microsoft per un’installazione immediata nelle reti aziendali. Inoltre, fornisce protezione LAN mondiale e roaming sugli endpoint attraverso la rete Anycast.

Infine, il filtro FlashStart garantisce protezione dagli attacchi alle reti aziendali a un prezzo molto competitivo, inferiore a molte delle soluzioni di sicurezza di cui, in definitiva, la maggior parte delle piccole e medie aziende non ha bisogno. Dopotutto, se proteggi la navigazione dei tuoi dipendenti, sei già in una posizione molto buona.

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere dispositivi desktop, dispositivi mobili e dispositivi IoT sulle reti locali.