Cómo funciona DNS y cuáles son sus riesgos

El sistema de nombres de dominio (DNS) traduce nombres fáciles de recordar, como example.com, en direcciones IP, como 93.184.216.34. Casi todas las transacciones de red comienzan con una consulta DNS, lo que convierte al DNS en un objetivo de gran valor.

Si un atacante controla o manipula la resolución de nombres, puede redirigir silenciosamente a las víctimas hacia servidores maliciosos, interceptar el tráfico o extraer datos sin tocar la aplicación. Comprender la ruta de resolución es el primer paso para protegerla.

Una consulta recursiva típica recorre una cadena de servidores:

• Resolvedor stub en el cliente (el sistema operativo).
• Resolvedor recursivo (su ISP o 8.8.8.8), que realiza el trabajo.
• Servidores raíz, que indican cuáles son los servidores TLD.
• Servidores TLD (por ejemplo, .com), que indican cuáles son los servidores autoritativos.
• Servidores autoritativos, que contienen los registros reales.

Cada salto es un posible punto de interceptación o suplantación.

Un resolvedor recursivo responde a cualquier consulta siguiendo las referencias por cuenta del cliente y almacenando el resultado en caché. Un servidor autoritativo responde únicamente para las zonas que administra y proporciona los datos definitivos.

Desde el punto de vista de la seguridad, los resolvedores recursivos abiertos pueden utilizarse para ataques de amplificación, mientras que los servidores autoritativos son objetivos de secuestro de zonas y de cuentas de registradores. Mantenga la recursión cerrada para su propia red.

Estos son algunos registros que encontrará durante el análisis:

• A / AAAA — dirección IPv4 / IPv6.
• CNAME — alias de otro nombre (tenga cuidado con los CNAME huérfanos que pueden permitir la toma de control de un subdominio).
• MX — servidores de correo.
• NS — delegación a servidores autoritativos.
• TXT — texto libre, utilizado para SPF y DKIM y, con frecuencia, abusado para la tunelización.

El DNS clásico funciona sobre el puerto UDP 53, con un mecanismo alternativo sobre TCP 53 para respuestas grandes y transferencias de zona. UDP no requiere conexión y no mantiene estado, por lo que no existe un handshake que demuestre que el emisor es quien afirma ser.

La única correlación entre una consulta y su respuesta es un ID de transacción de 16 bits y el puerto de origen. Esta vinculación débil es la causa fundamental de la suplantación y el envenenamiento de caché.

Para reducir la carga, los resolvedores almacenan las respuestas en caché durante el tiempo indicado por el TTL (tiempo de vida) del registro. Una respuesta con TTL 3600 permanece en caché durante una hora.

La caché es un arma de doble filo: mejora el rendimiento, pero significa que una única respuesta envenenada puede llegar a muchas víctimas hasta que expire el TTL. Los atacantes suelen intentar imponer TTL largos para que las entradas maliciosas persistan.

El DNS expone muchas superficies:

• Suplantación en ruta — falsificación de respuestas para que lleguen antes que las del servidor legítimo.
• Envenenamiento de caché — inyección de registros incorrectos en la caché de un resolvedor.
• Secuestro del registrador o de la zona — robo del control del propio dominio.
• Tunelización — codificación de datos dentro de las consultas para eludir los controles de salida.
• Amplificación DDoS — abuso de resolvedores abiertos como reflectores.

El DNS convencional no proporciona ninguna garantía de integridad ni autenticidad. Una respuesta se considera confiable si coincide con la IP de origen, el puerto de destino, el nombre de consulta y el ID de transacción. Todos estos datos pueden ser adivinados u observados por un atacante en ruta.

Esta suposición de diseño —que la red es confiable— explica la existencia de protecciones añadidas como DNSSEC, DNS over TLS (DoT) y DNS over HTTPS (DoH).

Antes de atacar, los adversarios enumeran el DNS para mapear su infraestructura. Las transferencias de zona mal configuradas (AXFR) pueden revelar todos los registros. La fuerza bruta de subdominios y los registros de transparencia de certificados revelan hosts ocultos.

Los defensores deben restringir las transferencias de zona a servidores secundarios conocidos y supervisar los patrones de consultas masivas que indiquen una enumeración.

DNS over TLS (puerto 853) y DNS over HTTPS (puerto 443) cifran la consulta para que los observadores en ruta no puedan leerla ni manipularla. Esto dificulta la suplantación y protege la privacidad.

La desventaja para los defensores es que el DNS cifrado puede impedirles ver sus propios mecanismos de filtrado y supervisión. Muchas empresas obligan a los clientes a usar un resolvedor DoH/DoT controlado, en lugar de permitir que los dispositivos finales elijan resolvedores externos.

Medidas prácticas para reforzar la ruta de resolución:

• Use resolvedores recursivos internos y bloquee el puerto 53 saliente directo hacia Internet.
• Desactive la recursión abierta en los servidores autoritativos.
• Restrinja y registre las transferencias de zona AXFR.
• Bloquee el dominio en el registrador (bloqueo de registro, MFA).
• Supervise el volumen y la entropía de las consultas para detectar tunelización y enumeración.

Ha aprendido que la resolución DNS recorre una cadena desde el resolvedor stub, pasando por los servidores raíz y TLD, hasta los servidores autoritativos, y que las respuestas se almacenan en caché según el TTL. Como el DNS clásico sobre UDP/53 carece de autenticación, está expuesto a suplantación, envenenamiento de caché, secuestro, tunelización y amplificación.

Defensas clave: recursión cerrada, transferencias de zona restringidas, bloqueos del registrador, transporte cifrado (DoT/DoH) y DNSSEC. A continuación, analizaremos en detalle la suplantación y el envenenamiento de caché.