Con el incesante incremento del uso de Internet, cada vez nos volvemos más dependientes de esta tecnología y nos encontramos a expensas de que todos los servicios que se proveen a través de la supercarretera de la información se encuentren disponibles en todo momento. Uno de los más importantes es el de DNS (Domain Name System), el cual es uno de los más discretos si lo comparamos con sus bien conocidos parientes web y correo electrónico.
¿Para qué nos sirve el servicio DNS? Bueno, cada vez que tecleas una dirección de un sitio web (www.google.com, www.facebook.com, microsoft.com, etc.) el navegador web (Chrome, Firefox, Microsoft Edge, Safari, Opera) le pide al sistema operativo (Windows, Linux, MacOS, Android, IOS) que convierta el nombre del sitio en una dirección IP. ¿Por que se requiere dicha conversión? Porque internamente todos los dispositivos (sean una computadora de escritorio, laptop, teléfono celular, tableta, o un IoT como cámara web, asistente virtual Amazon Echo o Google Home) se comunican mediante algo que se conocen como direcciones IP, los cuales son números que se les asignan a cada equipo para poder identificar uno de otro, por decirlo de alguna forma. Dicho lo anterior, debido que a el ser humano le resulta más fácil recordar un nombre en lugar de un número de identificación, hace muchos años alguien tuvo la brillante idea de desarrollar aquello que se encargara de convertir los nombres de sitios web en direcciones IP (formalmente no es correcto decir que se resuelve una liga web en una dirección IP, pero para cuestiones prácticas sirve entenderlo así). Este invento se ha ido corrigiendo y mejorando a través del tiempo en lo que hoy conocemos como servicio DNS, y como todo en la vida, continua en evolución.
Es importante mencionar que DNS nos es de utilidad más allá de cuando queremos navegar por un sitio web. Cuando uno utiliza aplicaciones en el celular como Whatsapp, Facebook Messenger, Zoom, Google Maps, Tiktok, estas aplicaciones necesitan comunicarse con servidores en internet y con otros dispositivos que requieren recibir algún mensaje. También se utiliza cuando le pedimos al asistente virtual de Amazon o de Google que reproduzca una canción o que nos diga el chiste del día, dichos equipos requieren del servicio DNS para conocer la dirección IP que deben contactar para obtener la canción o el chiste solicitado.
Realmente el DNS es un servicio básico, importante e imprescindible hoy en día, el cual es inherente al uso de Internet... y del cual los ciberdelincuentes se aprovechan.
El lector habrá escuchado alguna vez la palabra firewall, la cual no nació en el ambiente computacional, pero definitivamente se popularizó por su uso en el mundo informático. Firewall se refiere a un dispositivo implementado en hardware o software, el cual permite detectar y prevenir ciberataques a los equipos de nuestra red local. Estos equipos funcionan como el guardia de la entrada, inspeccionando el tráfico entrante o saliente de nuestra red, alertándonos de la llegada de algún malware o ataque desde internet. Uno de los servicios que históricamente no habían presentado una amenaza era el de DNS, así que su tráfico no se limitaba...hasta que los ciberdelincuentes se percataron de ello. En algún momento los atacantes también tuvieron una brillante idea y decidieron montar sus ataques dentro del tráfico DNS, el cual no era limitado y tampoco inspeccionado, lo cual lo volvía ideal para introducir programas y comunicación maliciosa de manera invisible a los ojos de los encargados informáticos. Más adelante inclusive, grupos de ciberdelincuentes han realizado lo que se conoce como ataques DDoS (Distribuited Denial of Service), teniendo como objetivos los servidores DNS: una computadora sin servicio DNS ya no puede resolver el nombre de dominio, por lo tanto desconocerá la dirección IP del servidor al cual se deba comunicar para cargar el portal del sitio al cual queramos acceder, y por tanto, no podremos realizar la actividad que nos urgía realizar. Cabe mencionar que DDoS no se limita solo a atacar DNS.
Hace un par de semanas, en un esfuerzo realizado por entidades gubernamentales de los E.U.A. y en forma separada por empresas de Tecnología y Ciberseguridad, se logró destruir (o al menos eso se creía) la infraestructura de un grupo de ciberdelincuentes que operaban la botnet TrickBot, una de las más activas en la actualidad. Sin embargo, recientes hallazgos indican que los operadores de dicha botnet siguen desarrollando sus actividades delictivas, y uno de los medios que utiliza para continuar controlando los equipos zombies (los bots), es mediante el servicio DNS. A través del tráfico de red que corresponde a la comunicación con un servidor DNS, los ciberdelincuentes "inyectan" mensajes que les permiten comunicarse con el Centro de Comando y Control de la botnet, el cual les puede ordenar realizar diferentes actividades a los equipos infectados, como robar información, atacar otros equipos, o afectar el rendimiento de un servicio dentro del equipo afectado. Para complicar un poco más la situación, no es posible bloquear el tráfico DNS, ya que como se mencionó anteriormente, es un servicio básico sin el cual no es factible que funcione adecuadamente la comunicación en internet, al menos a como hoy en día se encuentra operando. No obstante, no es el fin del mundo, diversas soluciones han aparecido para eliminar o mitigar este problema, ya sea inspeccionando el tráfico DNS, el cual debe cumplir con cierta estructura y patrones específicos, o limitando el tráfico DNS solo desde ciertos equipos de nuestra red (servidores DNS locales) hacia equipos específicos en internet, de los cuales se conoce y se confía de la funcionalidad DNS que proveen, de forma gratuita o de paga. Entre los más famosos se encuentran los de Google (8.8.8.8, 8.8.4.4), el de Cloudflare (1.1.1.1) y el de Quad9 (9.9.9.9).
Otra forma de contrarrestar los ataques a través del servicio DNS ha sido mediante el análisis de tráfico, monitoreando la cantidad de solicitudes DNS que se originan desde nuestros equipos locales, comparándolo con un promedio de uso, de tal manera que números que se alejen de lo esperado deben disparar una alerta y requerir una atención para encontrar la causa de la variación.
Ha surgido también otro protocolo denominado DNSSEC, el cual "firma" las respuestas a las peticiones DNS que se hacen desde nuestros dispositivos. Con esa firma, el equipo cliente (nuestro dispositivo) puede validar si quien le respondió a su petición, es realmente el servidor DNS con el cual se quería comunicar nuestro equipo. Sin embargo, a pesar de la mejora en seguridad que representa DNSSEC, su uso no se ha extendido.
Hoy en día, diversos fabricantes de navegadores web han empezado a implementar comunicación DNS sobre otros protocolos con cifrado, como DoH (DNS over HTTPS) o DoT (DNS over TLS). Estás implementaciones de comunicación DNS van más encaminadas a la privacidad, evitando que se conozca los sitios web que visitamos, aunque al final, quien nos provee esta funcionalidad (el fabricante del navegador web), sí conocerá perfectamente los sitios que frecuentamos. Cabe mencionar que estas funcionalidades se evitan o limitan a nivel empresarial, ya que los equipos de ciberseguridad implementados a nivel de dispositivo o a nivel de red, deben conocer hacía donde se comunica cada uno de los equipos a su cargo, para detectar y prevenir ataques a la infraestructura Informática de la empresa.
No cabe duda que a pesar de su poca fama, DNS es uno de los servicios más relevantes cuando utilizamos Internet.
Si quieres conocer más acerca del servicio DNS y la seguridad respecto al mismo, te dejo unos enlaces.
https://thehackernews.com/2020/10/trickbot-linux-variants-active-in-wild.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+TheHackersNews+%28The+Hackers+News+-+Cyber+Security+Blog%29&_m=3n.009a.2342.dy0ao0e40a.1h3i
https://www.icann.org/resources/pages/dnssec-what-is-it-why-important-2019-03-05-en
https://www.cloudflare.com/es-es/learning/dns/dns-security/
https://www.infoblox.com/glossary/dns-tunneling/
https://www.varonis.com/blog/dns-tunneling/
https://github.com/alex/what-happens-when
WhatsApp
WhatsApp