DNS Intelligence è definita come l’analisi dei dati provenienti dai sistemi DNS e dalle interazioni degli utenti con i siti internet. In questo articolo, chiarifichiamo il concetto di DNS Intelligence e dimostriamo quanto sia importante considerarlo come una strategia di protezione della navigazione.
Che cos’è DNS Intelligence
Il termine DNS Intelligence è spesso associato a “minacce” proprio per evidenziare la sua importanza come strategia di protezione durante la navigazione in internet.
DNS Intelligence significa analizzare i dati forniti dai sistemi DNS e dall’interazione degli utenti con i siti internet attraverso questi sistemi. La raccolta dei dati e la loro analisi permettono l’identificazione (più precoce e migliore) dei siti potenzialmente pericolosi, bloccandone l’accesso.
Si può pensare al DNS (Domain Name System) come a una sorta di rubrica telefonica dei siti internet. Quando un utente digita un nome di dominio per accedere a un sito da un programma browser, il nome digitato (flashstart.com) viene istantaneamente convertito nell’indirizzo IP del sito, o del computer in cui si trova il sito. Ciò accade perché il computer comprende solo i numeri.
Nel caso del nome di dominio flashstart.com, ad esempio, l’indirizzo IP correlato è 151.139.128.11. Ogni volta che un utente vuole connettersi a flashstart.com tramite il programma di navigazione, il computer effettua successive richieste ai vari sistemi che compongono un sistema DNS. Semplificando notevolmente un percorso altrimenti complicato, il browser accede a un database di associazioni (IP-nome di dominio) in cui flashstart.com è associato a 151.139.128.11. A questo punto, il browser effettua la connessione con il computer che ha quell’indirizzo IP e che ospita il sito flashstart.com. Tutto ciò avviene istantaneamente e trasparentemente per l’utente.
Va notato, tuttavia, che non esiste una corrispondenza bidirezionale tra indirizzo IP e nome di dominio. Ad esempio, la macchina con indirizzo IP 151.139.128.11 corrisponde a ben 44.000 siti. Quindi, l’analisi DNS permette di identificare la macchina con un certo IP che contiene i file che formano il sito cercato.
Pertanto, i sistemi DNS sono registri universali, database distribuiti su più server categorizzati innanzitutto per estensioni di dominio (.com, .it, .edu). Tale “contenitore” all’interno di un server DNS memorizza le informazioni sul dominio acquisendo anche informazioni da domini non archiviati.
I server sparsi in tutto il mondo che memorizzano e gestiscono i nomi di dominio, categorizzati secondo le estensioni di dominio (tecnicamente DNS root zone), sono chiamati root nameserver, e ce ne sono tredici in tutto il mondo.
Lo scopo di DNS Intelligence, in ultima analisi, è proteggere il percorso della risoluzione DNS di un computer. La protezione della navigazione sarà meglio garantita quando vengono acquisite ed elaborate più informazioni su un determinato sito.
Perché DNS Intelligence protegge la navigazione
Il sistema DNS è costituito da diverse tappe, che non sono altro che computer che contengono log, e applicazioni di ricerca e risposta al loro interno. Non ce ne rendiamo conto, ma la richiesta innocua di connettersi a flashstart.com innesca una serie di controlli e domande e risposte tra i vari computer del sistema DNS.
Inoltre, per evitare che ogni tappa rallenti la richiesta, ci sono memorie cache all’interno di quei computer che si popolano man mano che i siti visitati risultano sicuri, e ciò è possibile proprio grazie a DNS Intelligence. In altre parole, se voglio connettermi a google.com, è molto probabile che acceda a una homepage di Google memorizzata lungo il percorso. Questo evita di seguire le procedure standard, che causerebbero un rallentamento della connessione. Tuttavia, ed è successo, può accadere che il dominio google.com memorizzato in una cache lungo il percorso mi indirizzi verso un sito diverso. E questo sarebbe un grosso problema.
Proprio per questo motivo i criminali informatici si introdurono in questi log, in queste memorie temporanee, per modificare le informazioni. L’obiettivo è far sembrare un sito “pulito” quando non lo è, o far credere a un utente che sta accedendo al sito richiesto ma, in realtà, finisce in un incubo.
Pertanto, il sistema DNS è vulnerabile. E DNS Intelligence mira a renderlo più sicuro. Inoltre, molte tappe in un sistema DNS sono accessibili agli amministratori di sistema, che le modificano per evitare che i domini che gestiscono finiscano in una lista nera per qualche motivo e diventino inaccessibili. Pertanto, si potrebbe dire che i sistemi DNS sono molto (troppo) affollati, quindi è meglio attivare un’Intelligence che li monitora costantemente.
Infine, DNS Intelligence si rivela molto utile anche nelle indagini. Sapere tutto il possibile su un sito, e come è collegato a un sistema DNS, permette di ricostruire i percorsi seguiti da un criminale informatico, aumentando le possibilità di catturarlo.
Difesa DNS di nuova generazione: basata su cloud e IA, semplice da attivare.
Come si realizza DNS Intelligence
Un modello DNS Intelligence si realizza attraverso un servizio software o applicativo. Le parole operative sono: aggiornamento tempestivo. L’obiettivo è analizzare tutte le informazioni possibili sui siti, non solo ciò che si può trovare nei siti stessi ma ciò che può essere desunto dalle visite degli utenti e dall’esperienza dell’utente.
Il sito Netcraft ci dice che nel mondo ci sono poco più di un miliardo di siti, anche se meno di 200 milioni sono regolarmente aggiornati. Un conteggio approssimativo afferma che circa 250.000 nuovi siti vengono creati in tutto il mondo in 24 ore.
Lo scopo di DNS Intelligence è monitorare gli aggiornamenti ai siti esistenti e registrare i nuovi attraverso l’attività di Intelligence, in altre parole, raccogliendo anche quante più informazioni possibili sui siti dalla navigazione in tempo reale degli utenti.
Nello specifico, gli algoritmi dei servizi DNS Intelligence monitorano l’aggiunta di nuovi domini e sottodomini, dati storici e nuovi contenuti nei record DNS, associazioni nome di dominio-IP, collegamenti tra domini, record WHOIS (chi ha registrato un nome di dominio), attività dannosa, e altro ancora.
Esempi di attività DNS Intelligence
Le attività di un sistema DNS Intelligence sono diverse. Per comprendere il livello di Intelligence, riportiamo i controlli, grazie al software, che vengono eseguiti su un singolo sito web:
- Analisi dei record DNS presenti su un sito
- Verifica dei record DNS storici (giorni, mesi, anni)
- Mappatura dei sottodomini per metterli in ordine e aggiornarli
- Record DNS inversi eseguendo una ricerca all’indietro dal sito ai sistemi DNS
- Verifica dei nomi in una delle stazioni nel percorso per risolvere DNS, il registrar
- Cronologia dei record: verifica dei record DNS creati dal registrar
- Analisi dei nomi storici del registrar risalendo indietro per anni
- Identificazione del software DNS: informazioni sul software utilizzato per il server DNS
- Nomi di dominio associati: rilevamento di domini associati ospitati sulla stessa rete del dominio principale
- IP associati: la stessa analisi di cui sopra ma su indirizzi IP.
L’ultima generazione di algoritmi DNS Intelligence utilizza l’apprendimento automatico e, in generale, l’intelligenza artificiale. Questo perché la quantità di dati da analizzare è enorme e l’analisi deve essere eseguita rapidamente. Questi algoritmi vengono quindi integrati in soluzioni più ampie per filtrare la navigazione, come il servizio di FlashStart.
Difesa DNS di nuova generazione: basata su cloud e IA, semplice da attivare.
Per essere specifici, il servizio di FlashStart può vantare un’efficacia del 92,5%, il che significa che 925 siti su mille catalogati sono da considerare puliti e sicuri. Non è necessario preoccuparsi dei 75 siti che rimangono fuori dall’analisi. Si tratta di siti incompleti, scritti in lingue inintelligibili e comunque innocui.
L’DNS Intelligence integrata nell’offerta FlashStart ha già esaminato 190 milioni di siti, distribuiti in 85 categorie che, a loro volta, formano le blacklist dei sistemi DNS. Gli algoritmi di Intelligenza Artificiale perfezionati da FlashStart esaminano circa 40 mila nuovi domini al giorno, più gli avvisi aggiuntivi ricevuti da diversi canali e da informazioni di navigazione anonima degli utenti. FlashStart filtra circa 5 miliardi di richieste DNS ogni giorno in più di 140 paesi. Blocca la risoluzione circa 340 milioni di volte e, tra questi, circa 21 milioni riguardano minacce di malware e frodi.
Difesa DNS di nuova generazione: basata su cloud e IA, semplice da attivare.
È possibile attivare la protezione FlashStart® Cloud su qualsiasi tipo di router e firewall per proteggere i dispositivi desktop e mobile e i dispositivi IoT sulle reti locali.
