Crônicas da Nuvem, Parte 2: Prevenção e defesa contra ataques DDoS de DNS

Griff ShelleyGerente de Marketing de Produto III

A segurança pode não ser a primeira coisa em que você pensa ao considerar como uma solução de DNS se integrará ao seu ambiente. Afinal, o DNS costuma ser chamado de “a lista telefônica da internet” — e com que frequência listas telefônicas e segurança são mencionadas na mesma frase? O DNS é um tanto discreto, embora seja essencialmente a espinha dorsal das interações diárias na internet. Talvez por causa dessa ubiquidade, os serviços de DNS também sejam alvos frequentes de ataques distribuídos de negação de serviço (DDoS). E, à medida que a complexidade e a frequência desses ataques aumentam, também crescem as exigências para proteger esse pilar da infraestrutura da internet.

Ataques DDoS a DNS: uma rosa com qualquer outro nome ainda interromperia o tráfego

O que há para dizer sobre ataques DDoS a DNS que ainda não tenha sido dito? Eles se apresentam de diversas formas e variam em escala, desde “inconvenientes” até capazes de “derrubar a internet”, ou pelo menos parte dela. “DDoS” é um termo abrangente que engloba inúmeros tipos de ataques de rede e a aplicações que causam negação de serviço e se misturam ao tráfego legítimo de aplicações. Veja quatro dos ataques de grande escala mais comuns:

Ataques de amplificação e reflexão de DNStransformam o próprio DNS em uma arma, explorando a natureza aberta dos servidores DNS para amplificar o tráfego do ataque — como gritar em um cânion e usar o eco para amplificar o som.

Ataques NXDOMAIN inundam um servidor com solicitações de domínios inexistentes, criando uma cacofonia insidiosa de "números errados" que sobrecarrega o serviço.

Ataques de subdomínios aleatórios surpreendem ao solicitar uma enorme variedade de subdomínios inexistentes, confundindo os resolvedores de DNS.

Inundações de DNS sobrecarregam um ou mais servidores com tráfego aparentemente legítimo, buscando derrubar o sistema pelo enorme volume de requisições.

Ataques de inundação de DNS, subdomínio, NXDOMAIN, amplificação e reflexão — independentemente de como se manifestem — buscam usar tráfego excessivo ou irregular para interromper o acesso de usuários legítimos a aplicativos essenciais aos negócios. Além disso, nem sempre são lançados isoladamente. Na verdade, os ataques DDoS de DNS também podem servir como cortinas de fumaça para ocultar outras atividades maliciosas. Considerando a existência desses tipos de ataque em um contexto de crescente transformação digital, maior prevalência de dispositivos de IoT e expansão do acesso às redes 5G, agentes mal-intencionados podem explorar mais tecnologias e conexões com a internet do que nunca para atingir seus objetivos nefastos contra os serviços de DNS. O que fazer?

Ataques multivetoriais, segurança multivetorial

Posicionar o DNS como o ponto de partida para a entrega de aplicações em um ambiente exige que as equipes também o considerem um ponto de partida para a segurança, mesmo que um serviço de DNS não seja tradicionalmente visto como uma solução de segurança.

É útil pensar na segurança no contexto de três funções relacionadas: escalabilidade, alta disponibilidade e gerenciamento de tráfego malicioso. Todas essas funções atuam diretamente na interação com o tráfego, garantindo que o tráfego correto chegue ao destino necessário, sem impedimentos.

Escalabilidade: Considere uma infraestrutura projetada para aumentar automaticamente sua capacidade em resposta a picos na demanda de tráfego, dando às equipes responsáveis pela manutenção do serviço uma vantagem inicial na detecção de ataques DDoS. Isso pode garantir que, mesmo durante um ataque volumétrico, os usuários legítimos ainda consigam resolver suas consultas DNS com o mínimo de interferência, como uma ponte capaz de adicionar faixas durante o horário de pico para evitar congestionamentos. A capacidade de escalabilidade de um serviço de DNS também significa que uma onda repentina de tráfego — mal-intencionado ou não — não sobrecarregará os recursos de back-end a ponto de deixá-los inoperantes.

Alta disponibilidade: Acrescente outra dimensão ao conceito de escalabilidade, especialmente no contexto da segurança de DNS, e você perceberá a necessidade de um serviço de DNS que forneça resoluções ininterruptas durante um ataque capaz de deixar um recurso indisponível. Se esse serviço contar com pontos de presença (PoPs) em todo o mundo, essa rede de servidores poderá oferecer gerenciamento inteligente de tráfego, realizando failovers contínuos para os recursos designados, permitindo o acesso dos usuários e impedindo que invasores identifiquem e explorem um ponto único de falha. Outra variante dessa solução é combinar um serviço de DNS baseado em nuvem com um serviço de DNS local, implantando ambos como uma espécie de dupla dinâmica de combate a DDoS que pode dividir a carga entre eles ou posicionar um serviço de DNS como backup do outro.

Gerenciamento de tráfego malicioso: Além da escalabilidade e da alta disponibilidade, um serviço de DNS também deve contar com recursos avançados de gerenciamento de tráfego malicioso. Ao utilizar análises em tempo real e inteligência de ameaças, esse serviço pode ajudar os administradores a identificar e combater o tráfego malicioso antes que ele cause danos. Imagine um filtro de água capaz de diferenciar um fluxo de água limpa de outro contaminado, permitindo a passagem apenas da água limpa. Permitir que somente o tráfego “limpo” passe pela rede libera recursos, pois o tráfego malicioso é detectado preventivamente e descartado antes de chegar ao destino visado, evitando que esse destino tenha de processar pacotes indesejados e contribuindo para melhorar a disponibilidade dos aplicativos.

Esses métodos de segurança abordam o problema da mitigação de tráfego malicioso por três frentes. Eles escalam, eles desviam, eles descartam. Além disso, complementam-se nas áreas em que um método isolado pode apresentar limitações. Alta disponibilidade, por exemplo, não significa necessariamente alta escalabilidade (e vice-versa). No entanto, a implementação de uma estratégia de entrega de aplicações que combine os três métodos pode criar rapidamente uma sólida linha de defesa contra grandes volumes de tráfego malicioso.

Na prática, garantir uma entrega robusta de aplicações diante de desafios como ataques DDoS geralmente envolve a combinação de estratégias e tecnologias, como gerenciamento inteligente de tráfego, arquiteturas distribuídas e mecanismos automatizados de failover. F5 Distributed Cloud DNS pode ser o primeiro passo para desenvolver esse tipo de ambiente para suas aplicações distribuídas.

Se quiser saber mais sobre como fazer isso, entre em contato conosco.

Sobre o autor

Griff ShelleyGerente de Marketing de Produto III

Mais publicações de Griff Shelley