Crónicas de la nube, parte 2: prevención y defensa frente a ataques DDoS al DNS

Griff Shelley

Puede que la seguridad no sea lo primero en lo que piense al plantearse cómo encajará una solución DNS en su entorno. Al fin y al cabo, suele decirse que es «la guía telefónica de Internet», pero ¿con qué frecuencia se mencionan las guías telefónicas y la seguridad en la misma frase? El DNS pasa bastante desapercibido, aunque constituye, en esencia, la columna vertebral de las interacciones cotidianas en Internet. Quizá debido a esta omnipresencia, los servicios DNS también son con frecuencia el objetivo de ataques distribuidos de denegación de servicio (DDoS). Y, a medida que aumentan la complejidad y la frecuencia de estos ataques, también lo hacen las exigencias que conlleva proteger este pilar fundamental de la infraestructura de Internet.

Ataques DDoS al DNS: una rosa con cualquier otro nombre seguiría interrumpiendo el tráfico

¿Qué se puede decir sobre los ataques DDoS al DNS que no se haya dicho ya? Se presentan en múltiples variantes y su magnitud va desde «molestos» hasta capaces de «colapsar Internet», o al menos una parte de él. «DDoS» es un término genérico que engloba innumerables tipos de ataques de red y de aplicaciones destinados a denegar el servicio y que se infiltran en el tráfico legítimo de las aplicaciones. Estos son cuatro de los ataques a gran escala más habituales:

Ataques de amplificación y reflexión de DNSconvierten el propio DNS en un arma, aprovechando el carácter abierto de los servidores DNS para amplificar el tráfico del ataque, como cuando se grita en un cañón y se utiliza el eco para amplificar el sonido.

Ataques NXDOMAIN inundan un servidor con solicitudes de dominios inexistentes, creando una insidiosa cacofonía de «números equivocados» que ralentiza el servicio.

Ataques de subdominios aleatorios plantean un desafío inesperado al solicitar una enorme variedad de subdominios inexistentes, lo que desconcierta a los resolutores DNS.

Inundaciones DNS inundan uno o varios servidores con tráfico aparentemente legítimo, intentando saturar un sistema por puro volumen.

Los ataques de inundación de DNS, de subdominios, NXDOMAIN y de amplificación y reflexión, independientemente de cómo se manifiesten, buscan utilizar un tráfico excesivo o irregular para impedir que los usuarios legítimos accedan a aplicaciones esenciales para la empresa. Además, no siempre se lanzan de forma aislada. De hecho, los ataques DDoS contra el DNS también pueden servir como cortinas de humo para ocultar otras actividades maliciosas. Ante la proliferación de las transformaciones digitales, la creciente presencia de dispositivos IoT y la expansión del acceso a redes 5G, los ciberdelincuentes pueden aprovechar ahora más tecnología y conexiones a Internet que nunca para alcanzar sus objetivos maliciosos contra los servicios DNS. ¿Qué se puede hacer?

Ataques multivectoriales, seguridad multivectorial

Situar el DNS como punto de partida para la entrega de aplicaciones en un entorno exige que los equipos también lo consideren un punto de partida para la seguridad, aunque tradicionalmente un servicio DNS no suela concebirse como una solución de seguridad.

Resulta útil plantear la seguridad en el contexto de tres funciones relacionadas: escalabilidad, alta disponibilidad y gestión del tráfico malicioso. Todas estas funciones intervienen activamente en la interacción con el tráfico, garantizando que el tráfico adecuado llegue a su destino sin obstáculos.

Escalabilidad: Pensemos en una infraestructura diseñada para ampliarse automáticamente en respuesta a aumentos repentinos de la demanda de tráfico, lo que permite a los equipos encargados del mantenimiento del servicio anticiparse a la detección de ataques DDoS. Así, incluso durante un ataque volumétrico, los usuarios legítimos pueden seguir resolviendo sus consultas DNS con una interferencia mínima, como si un puente pudiera añadir carriles en hora punta para evitar atascos. La capacidad de un servicio DNS para escalar también implica que una oleada repentina de tráfico, ya sea malicioso o no, no saturará los recursos del backend hasta dejarlos inoperativos.

Alta disponibilidad: Añada otra dimensión al concepto de escalabilidad, especialmente en el contexto de la seguridad del DNS, y comprenderá la necesidad de contar con un servicio DNS que proporcione resoluciones ininterrumpidas durante un ataque que pueda dejar un recurso fuera de servicio. Si ese servicio dispone de puntos de presencia (PoP) en todo el mundo, dicha red de servidores puede ofrecer una gestión inteligente del tráfico mediante conmutaciones por error fluidas hacia los recursos designados, facilitando el acceso a los usuarios e impidiendo que los atacantes identifiquen y exploten un único punto de fallo. Otra variante de esta solución consiste en combinar un servicio DNS basado en la nube con un servicio DNS local y desplegarlos como una especie de dinámico dúo contra los ataques DDoS capaz de repartir la carga entre ambos o de utilizar uno de los servicios DNS como respaldo del otro.

Gestión del tráfico malicioso: Más allá de la escalabilidad y la alta disponibilidad, un servicio DNS también debe contar con funciones avanzadas de gestión del tráfico malicioso. Mediante el uso de análisis en tiempo real e inteligencia sobre amenazas, este tipo de servicio puede ayudar a los administradores a identificar y abordar el tráfico malicioso antes de que cause daños. Imagine un filtro de agua capaz de distinguir entre un flujo de agua limpia y otro contaminado, dejando pasar únicamente el agua limpia. Permitir que solo el tráfico «limpio» atraviese la red libera recursos, ya que el tráfico malicioso se detecta de forma preventiva y se descarta antes de que llegue a su destino, evitando así que este tenga que procesar paquetes basura y contribuyendo a mejorar la disponibilidad de las aplicaciones.

Estos métodos de seguridad abordan desde tres frentes el problema de mitigar el tráfico malicioso. escalan, lo desvían, lo descartan. Además, se complementan entre sí en aquellos aspectos en los que un método concreto puede resultar insuficiente. La alta disponibilidad, por ejemplo, no implica necesariamente una alta escalabilidad (y viceversa). Sin embargo, implementar una estrategia de entrega de aplicaciones que combine los tres métodos puede proporcionar rápidamente una sólida línea de defensa contra las avalanchas de tráfico malicioso.

En la práctica, para garantizar una entrega de aplicaciones sólida frente a amenazas como los ataques DDoS, suele ser necesario combinar estrategias y tecnologías, como la gestión inteligente del tráfico, las arquitecturas distribuidas y los mecanismos automatizados de conmutación por error. F5 Distributed Cloud DNS puede ser el primer paso para desarrollar este tipo de entorno para sus aplicaciones distribuidas.

Si quiere obtener más información sobre cómo hacerlo, póngase en contacto con nosotros.

Sobre el autor

Griff Shelley

Más artículos de Griff Shelley