DNSSEC y filtrado DNS

El DNS básico no ofrece autenticidad. Dos defensas complementarias abordan este problema: DNSSEC demuestra que las respuestas son auténticas y no han sido manipuladas, mientras que el filtrado DNS bloquea la resolución de nombres conocidos como maliciosos. Juntas protegen la integridad y reducen la superficie de ataque.

En esta lección verá cómo funciona cada una y dónde encaja en una estrategia de seguridad DNS por capas.

DNSSEC (Extensiones de seguridad del DNS) añade firmas criptográficas a los datos DNS. Garantiza:

• Autenticidad del origen — la respuesta procede del propietario real de la zona.
• Integridad de los datos — la respuesta no se modificó durante el tránsito.

Es importante destacar que DNSSEC no proporciona confidencialidad. Las consultas y respuestas siguen transmitiéndose en texto claro; para garantizar la privacidad todavía necesita DoT/DoH.

Cada conjunto de registros de una zona firmada obtiene un registro RRSIG: una firma digital sobre esos datos. La clave pública correspondiente se publica como un registro DNSKEY.

Un resolutor que valida obtiene el RRSIG y el DNSKEY y, a continuación, verifica la firma. Si la verificación falla, la respuesta se rechaza por no ser válida en lugar de entregarse al cliente.

La confianza fluye por la jerarquía. Una zona principal publica un registro DS (firmante de delegación) que contiene el hash del DNSKEY de la zona secundaria. La cadena sigue este recorrido: raíz → TLD → su dominio.

Un resolutor que valida parte del anclaje de confianza de la raíz preconfigurado y sigue los registros DS hacia abajo. Si falta algún enlace o es incorrecto, la validación falla. Publicar el DS en su registrador es lo que activa DNSSEC para su dominio.

Las zonas utilizan dos funciones de clave:

• ZSK (clave de firma de zona) — firma los registros reales y se rota con frecuencia.
• KSK (clave de firma de claves) — firma el conjunto DNSKEY, tiene una vida útil más larga y el DS de la zona principal hace referencia a ella.

Separar las funciones permite rotar la ZSK sin modificar la delegación principal, lo que simplifica la gestión de claves.

DNSSEC también debe demostrar que un nombre no existe. Los registros NSEC firman los huecos entre los nombres existentes, pero permiten a los atacantes recorrer y enumerar toda la zona.

NSEC3 resuelve este problema al firmar nombres con hash en lugar de texto sin formato, lo que dificulta la enumeración de la zona. Prefiera NSEC3 (o NSEC3 opt-out) para las zonas que no quiera que puedan recorrerse por completo.

Sea realista sobre su alcance:

• No proporciona confidencialidad, solo integridad y autenticidad.
• La validación debe realizarse en un resolutor de confianza; el último tramo hasta el stub sigue sin protección si no se utiliza DoT/DoH.
• Las firmas mal configuradas o caducadas provocan interrupciones, por lo que debe supervisar su validez.
• Las respuestas más grandes aumentan el potencial de amplificación si la recursión abierta permanece habilitada.

El filtrado DNS utiliza el resolutor como punto de aplicación de políticas. Cuando un cliente busca un dominio malicioso o no deseado, el resolutor rechaza o reescribe la respuesta, a menudo dirigiéndola a un sinkhole o a una página de bloqueo.

Es económico, rápido e independiente del protocolo: bloquear la consulta impide el C2 del malware, el phishing y el acceso a categorías no deseadas antes incluso de que se intente establecer una conexión.

RPZ es una forma estándar de aplicar políticas de firewall DNS. El resolutor carga zonas de políticas, locales o procedentes de fuentes de inteligencia de amenazas, y puede:

• Devolver NXDOMAIN (el nombre no existe).
• Devolver NODATA.
• Redirigir a un sinkhole o a la IP de un jardín vallado.
• Permitir el paso y registrar la actividad.

El uso de sinkholes es muy eficaz para responder a incidentes: redirija los dominios C2 conocidos y observe qué hosts intentan acceder a ellos.

El valor del filtrado depende de la calidad de los datos. Proporcione al resolutor:

• Listas seleccionadas de indicadores de malware, phishing y C2.
• Fuentes de dominios registrados recientemente y de baja reputación (a menudo maliciosos).
• Políticas por categorías (por ejemplo, bloquear anonimizadores conocidos en dispositivos corporativos).

Combine el filtrado con el registro para que las consultas bloqueadas se conviertan en señales de detección y no solo en denegaciones silenciosas.

Las dos defensas son complementarias, no contrapuestas:

• DNSSEC garantiza que las respuestas que recibe sean auténticas y no hayan sido manipuladas.
• Filtrado/RPZ garantiza que ni siquiera resuelva nombres conocidos como maliciosos.

Implemente ambas medidas en resolutores internos que validen, añada DoT/DoH para la privacidad del último tramo, aplique controles de salida y obtendrá una sólida estrategia de seguridad DNS por capas.

DNSSEC autentica las respuestas DNS mediante firmas RRSIG, la cadena de confianza DNSKEY/DS desde el anclaje de la raíz y NSEC/NSEC3 para la denegación autenticada, pero no proporciona confidencialidad. El filtrado DNS (RPZ, sinkholes y fuentes de amenazas) impide resolver nombres conocidos como maliciosos y convierte los bloqueos en detecciones.

Utilizados conjuntamente en resolutores internos que validan, con DoT/DoH y controles de salida, forman una defensa por capas contra los ataques DNS tratados en este curso.