UD 3: “Instalación y administración de servicios de nombres de dominio” Seguridad DNS

1. UD 3: “Instalación y administración de servicios de nombres de dominio”Seguridad DNS Jorge De Nova Segundo

2. La vulnerabilidad • Cache poisoning (DNS spoofing). • Básicamente consiste en forzar las respuestas de un servidor o resolvedor DNS para que devuelva la dirección IP que se quiera en vez de la dirección IP real. Este tipo de ataques ya fue observado en 1993 en un artículo llamado 'AddressingWeaknesses in theDomainNameSystemProtocol' y posteriormente durante los años siguientes han aparecido varias vulnerabilidades parecidas generalmente relacionadas con problemas de generación de números aleatorios. • el CERT norteamericano es claro en un aspecto: la única solución válida para evitar la vulnerabilidad es usar DNSSEC, una extensión al protocolo DNS que lleva muchos años disponible pero no ha tenido mucho éxito su implementación. Aún así, han salido varios parches que mitigan en parte la vulnerabilidad, pero no la eliminan por completo, con lo que hay que tener cuidado a la hora de actualizar los servidores DNS y analizar las consecuencias.

3. Amenazas para la seguridad DNS • La ocupación es el proceso mediante el cual un intruso obtiene los datos de zona DNS para obtener los nombres de dominio DNS, nombres de equipo y direcciones IP de recursos de red importantes. Un intruso suele empezar un ataque utilizando estos datos DNS para obtener un diagrama u ocupación, de una red. Los nombres de equipo y dominio DNS suelen indicar la función o ubicación de un dominio o equipo para ayudar a los usuarios a recordar e identificar los dominios y equipos con mayor facilidad. Un intruso se aprovecha del mismo principio DNS para aprender la función o ubicación de dominios y equipos en la red. • Un ataque por servicio denegado se produce cuando un intruso intenta denegar la disponibilidad de los servicios de red desbordando uno o varios servidores DNS de la red con consultas recursivas. Cuando un servidor DNS se desborda con consultas, el uso de la CPU alcanzará su nivel máximo y el servicio del Servidor DNS dejará de estar disponible. Sin un servidor DNS completamente operativo en la red, los servicios de red que utilicen DNS dejarán de estar disponibles para los usuarios de la red.

4. La modificación de datos es un intento del intruso (que ha ocupado una red mediante DNS) de utilizar direcciones IP válidas en paquetes IP que ha creado él mismo, de manera que proporciona a estos paquetes la apariencia de proceder de una dirección IP válida de la red. Esto se denomina comúnmente IP ficticia. Con una dirección IP válida (una dirección IP dentro del rango de direcciones IP de una subred), el intruso puede tener acceso a la red y destruir datos o realizar otro tipo de ataque. • La redirección se produce cuando un intruso puede redirigir consultas de nombres DNS a servidores que él controle. Un método de redirección incluye el intento de contaminar la caché DNS de un servidor DNS con datos DNS erróneos que pueden dirigir consultas futuras a servidores que controle el intruso. Por ejemplo, si se realizó una consulta originalmente para ejemplo.microsoft.com y la respuesta de referencia proporcionó el registro de un nombre externo al dominio microsoft.com, como usuario-malintencionado.com, el servidor DNS utilizará los datos de la caché de usuario-malintencionado.com para resolver la consulta de dicho nombre. La redirección puede realizarse siempre que el intruso disponga de acceso de escritura a datos DNS, como ocurre, por ejemplo, con las actualizaciones dinámicas no seguras.

5. DoS (Denial of Service) • Como su propio nombre indica, estos ataques consisten en impedir que los usuarios utilicen el servicio. Normalmente provoca la pérdida de la conectividad de la red por el consumo del ancho de banda de la red de la víctima o sobrecarga de los recursos computacionales del sistema de la víctima. • Se genera mediante la saturación de los puertos con flujo de información, haciendo que el servidor se sobrecargue y no pueda seguir prestando servicios, por eso se le denomina "denegación", pues hace que el servidor no dé abasto a la cantidad de solicitudes.

6. DNS Spoofing Suplantación de identidad por nombre de dominio. Se trata del falseamiento de una relación “Nombre de dominio-IP” ante una consulta de resolución de nombre, es decir, resolver con una dirección IP falsa un cierto nombre DNS o viceversa. Dentro del DNS Spoofing podemos subdividir En ataques de TXID (o envenenamiento de la caché) y los MitM (Man in theMiddle). Aunque los últimos no van dirigidos directamente contra el servidor, suplantan las peticiones contra el mismo. Como es obvio, todos estos sufren los mismos problemas de eficacia en función de la ubicación del origen y el destino, así como de la existencia de firewalls al igual que hemos visto en el caso del DoS en cuanto a suplantación se refiere.

7. Los ataques Man in theMiddle (o intermediario) Son ataques contra el flujo de la información entre dos máquinas. El atacante lee y modifica la información del flujo sin que se percaten las máquinas afectadas. Para el caso del DNS, el atacante esnifa las peticiones DNS de la víctima y las respondehaciéndose pasar por el servidor DNS que utiliza la víctima.

8. Footprinting Los intrusos pueden lograr una gran cantidad de información acerca de la infraestructura de la red interceptando los paquetes de DNS para de esta manera lograr identificar sus objetivos, capturando el tráfico de DNS los intrusos pueden aprender acerca del sistema de nombres del dominio, los nombres de las máquinas, y el esquema de IP que se emplea en una red. Esta información de red revela la funcionalidad de ciertas máquinas presentes en la misma permitiendo al intruso decidir cuáles son los objetivos más fructíferos y otra forma de atacarlos. Redireccionamiento En este tipo de ataque de un intruso causa que el servidor de DNS redirecciones todas las consultas de resolución de nombres aún servidor incorrecto que esta bajo el control del atacante el atacante de lograr esta técnica mediante la corrupción o envenenamiento del caché del servidor utilizando actualizaciones dinámicas

9. Existen Tres niveles de seguridad DNS Los siguientes tres niveles de seguridad DNS le ayudarán a comprender su configuración DNS actual y le permitirán aumentar la seguridad DNS de su organización. • Seguridad de bajo nivel • Seguridad de nivel medio • Seguridad de Alto nivel

10. Seguridad de bajo nivel • La seguridad de bajo nivel es una implementación DNS estándar sin precauciones de seguridad configuradas. Implemente este nivel de seguridad DNS únicamente en entornos de red donde no preocupe la integridad de sus datos DNS o en una red privada donde no existan amenazas de conectividad externa. • La infraestructura DNS de su organización está completamente expuesta a Internet. • Todos los servidores DNS de su red realizan resolución DNS estándar. • Todos los servidores DNS están configurados con sugerencias de raíz dirigidas a los servidores raíz para Internet. • Todos los servidores DNS permiten transferencias de zona a cualquier servidor. • Todos los servidores DNS están configurados para atender en todas sus direcciones IP. • La prevención de contaminación de la caché se encuentra deshabilitada en todos los servidores DNS. • La actualización dinámica se permite en todas las zonas DNS. • El puerto 53 del Protocolo de datagramas de usuario (UDP, UserDatagramProtocol) y el Protocolo de control de transmisión/Protocolo Internet (TCP/IP, Transmission Control Protocol/Internet Protocol) está abierto en el servidor de seguridad de su red tanto para direcciones de origen como de destino.

11. Seguridad de nivel medio • La seguridad de nivel medio utiliza las características de seguridad DNS disponibles sin ejecutar servidores DNS en controladores de dominio ni almacenar zonas DNS en Active Directory. • La infraestructura DNS de su organización tiene una exposición a Internet limitada. • Todos los servidores DNS están configurados para utilizar reenviadores orientados a una lista específica de servidores DNS internos cuando no puedan resolver nombres de manera local. • Todos los servidores DNS limitan las transferencias de zona a los servidores indicados en los registros de recursos de servidor de nombres (NS, Name Server) de sus zonas. • Los servidores DNS están configurados para atender en las direcciones IP especificadas. • La prevención de contaminación de la caché se encuentra habilitada en todos los servidores DNS. • La actualización dinámica no segura no se permite en ninguna zona DNS. • Los servidores DNS internos se comunican con servidores DNS externos a través del servidor de seguridad mediante una lista limitada de las direcciones de origen y destino permitidas. • Los servidores DNS externos que hay delante de su servidor de seguridad están configurados con sugerencias de raíz dirigidas a los servidores raíz para Internet. • Toda la resolución de nombres de Internet se realiza utilizando servidores proxy y puertas de enlace.

12. Seguridad de alto nivel • La seguridad de alto nivel utiliza la misma configuración que la de nivel medio y además utiliza las características de seguridad disponibles cuando el servicio del Servidor DNS se está ejecutando en un controlador de dominio y las zonas DNS se almacenan en Active Directory. Además, la seguridad de alto nivel elimina por completo la comunicación DNS con Internet. Esta no es una configuración típica, aunque es la recomendada siempre que no sea necesaria la conectividad con Internet. • La infraestructura DNS de su organización no tiene comunicación con Internet a través de servidores DNS internos. • Su red utiliza una raíz y un espacio de nombres DNS internos, en la que toda la autoridad para zonas DNS es interna. • Los servidores DNS configurados con reenviadores sólo utilizan direcciones IP del servidor DNS interno.

13. Todos los servidores DNS limitan las transferencias de zona a direcciones IP especificadas. • Los servidores DNS están configurados para atender en las direcciones IP especificadas. • La prevención de contaminación de la caché se encuentra habilitada en todos los servidores DNS. • Los servidores DNS internos están configurados con sugerencias de raíz dirigidas a los servidores DNS internos que alojan la zona raíz para su espacio de nombres interno. • Todos los servidores DNS se ejecutan en controladores de dominio. En el servicio Servidor DNS se configura una lista de control de acceso discrecional (DACL, Discretionary Access Control List) para que sólo permita realizar tareas administrativas en el servidor DNS a usuarios específicos. • Todas las zonas DNS se almacenan en Active Directory. La DACL está configurada para que sólo permita crear, eliminar o modificar zonas DNS a usuarios específicos. • Las DACL están configuradas en los registros de recursos DNS para que sólo permitan crear, eliminar o modificar datos DNS a usuarios específicos. • La actualización dinámica segura se configura para las zonas DNS, excepto en las zonas raíz y de nivel superior, que no permiten las actualizaciones dinámicas.