DNSSEC dan Pemfilteran DNS

DNS biasa tidak menyediakan keaslian. Dua pertahanan yang saling melengkapi mengatasi hal ini: DNSSEC membuktikan bahwa jawaban asli dan tidak diubah, sedangkan penyaringan DNS memblokir resolusi nama yang diketahui berbahaya. Bersama-sama, keduanya melindungi integritas dan mengurangi permukaan serangan.

Pelajaran ini membahas cara kerja masing-masing pertahanan dan posisinya dalam strategi keamanan DNS berlapis.

DNSSEC (Ekstensi Keamanan DNS) menambahkan tanda tangan kriptografis ke data DNS. DNSSEC menjamin:

• Keaslian asal — jawaban berasal dari pemilik zona yang sebenarnya.
• Integritas data — jawaban tidak diubah selama pengiriman.

Yang penting, DNSSEC tidak menyediakan kerahasiaan. Kueri dan jawaban tetap berupa teks biasa; untuk privasi, Anda tetap memerlukan DoT/DoH.

Setiap kumpulan rekaman dalam zona yang ditandatangani mendapatkan rekaman RRSIG: tanda tangan digital atas data tersebut. Kunci publik yang sesuai dipublikasikan sebagai rekaman DNSKEY.

Penyelesai yang melakukan validasi mengambil RRSIG dan DNSKEY, lalu memverifikasi tanda tangan. Jika verifikasi gagal, jawaban ditolak sebagai palsu, bukan disajikan kepada klien.

Kepercayaan mengalir menuruni hierarki. Zona induk menerbitkan rekaman DS (Penanda Delegasi) yang menghasilkan hash DNSKEY zona anak. Rantainya adalah: akar → TLD → domain Anda.

Penyelesai yang melakukan validasi memulai dari jangkar kepercayaan akar yang ditanam permanen, lalu mengikuti rekaman DS ke bawah. Jika ada tautan yang hilang atau salah, validasi gagal. Menerbitkan DS di pencatat domain Anda akan mengaktifkan DNSSEC untuk domain tersebut.

Zona menggunakan dua peran kunci:

• ZSK (Kunci Penandatanganan Zona) — menandatangani rekaman sebenarnya dan sering diganti.
• KSK (Kunci Penandatanganan Kunci) — menandatangani kumpulan DNSKEY, memiliki masa berlaku lebih panjang, dan dirujuk oleh DS induk.

Pemisahan peran memungkinkan Anda mengganti ZSK tanpa menyentuh delegasi induk, sehingga menyederhanakan pengelolaan kunci.

DNSSEC juga harus membuktikan bahwa suatu nama tidak ada. Rekaman NSEC menandatangani celah di antara nama-nama yang ada, tetapi memungkinkan penyerang menelusuri dan menginventarisasi seluruh zona.

NSEC3 mengatasi hal ini dengan menandatangani nama yang telah di-hash, bukan nama dalam teks biasa, sehingga menghambat inventarisasi zona. Pilih NSEC3 (atau NSEC3 dengan pengecualian) untuk zona yang tidak ingin Anda izinkan untuk dirayapi sepenuhnya.

Bersikaplah realistis tentang cakupannya:

• Tidak ada kerahasiaan, hanya integritas dan keaslian.
• Validasi harus dilakukan pada penyelesai tepercaya; segmen terakhir menuju klien tetap tidak terlindungi tanpa DoT/DoH.
• Tanda tangan yang salah konfigurasi atau kedaluwarsa dapat menyebabkan gangguan, jadi pantau validitas tanda tangan.
• Respons yang lebih besar meningkatkan potensi amplifikasi jika rekursi terbuka dibiarkan aktif.

Penyaringan DNS menggunakan penyelesai sebagai titik penerapan kebijakan. Saat klien mencari domain berbahaya atau tidak diinginkan, penyelesai menolak atau menulis ulang jawaban, sering kali ke lubang penampung atau halaman pemblokiran.

Metode ini murah, cepat, dan tidak bergantung pada protokol: memblokir pencarian akan menghentikan C2 perangkat lunak jahat, pengelabuan, dan kategori yang tidak diinginkan sebelum koneksi bahkan dicoba.

RPZ adalah cara standar untuk menerapkan kebijakan tembok api DNS. Penyelesai memuat zona kebijakan (lokal atau dari umpan intelijen ancaman) dan dapat:

• Mengembalikan NXDOMAIN (nama tidak ada).
• Mengembalikan NODATA.
• Mengalihkan ke lubang penampung atau IP lingkungan berpagar.
• Meneruskan sambil melakukan pencatatan.

Pengalihan ke lubang penampung sangat berguna untuk tanggap insiden: alihkan domain C2 yang diketahui dan amati mesin mana yang mencoba menghubunginya.

Nilai penyaringan bergantung pada kualitas data. Berikan kepada penyelesai:

• Daftar indikator perangkat lunak jahat, pengelabuan, dan C2 yang dikurasi.
• Umpan domain yang baru didaftarkan dan bereputasi rendah (sering kali berbahaya).
• Kebijakan kategori (misalnya, blokir layanan anonimisasi yang dikenal pada perangkat perusahaan).

Padukan penyaringan dengan pencatatan agar kueri yang diblokir menjadi sinyal deteksi, bukan sekadar penolakan diam-diam.

Kedua pertahanan ini saling melengkapi, bukan bersaing:

• DNSSEC memastikan jawaban yang Anda terima benar-benar asli dan tidak diubah.
• Penyaringan/RPZ memastikan nama yang diketahui berbahaya tidak pernah diresolusikan sejak awal.

Terapkan keduanya pada penyelesai internal yang melakukan validasi, tambahkan DoT/DoH untuk privasi segmen terakhir, tegakkan kontrol lalu lintas keluar, dan Anda akan memiliki postur keamanan DNS berlapis yang kuat.

Pastikan apa yang sebenarnya dijamin DNSSEC.

DNSSEC mengautentikasi jawaban DNS menggunakan tanda tangan RRSIG, rantai kepercayaan DNSKEY/DS dari jangkar akar, serta NSEC/NSEC3 untuk penyangkalan terautentikasi, tetapi tidak menyediakan kerahasiaan. Penyaringan DNS (RPZ, pengalihan ke lubang penampung, dan umpan ancaman) mencegah resolusi nama yang diketahui berbahaya serta mengubah pemblokiran menjadi deteksi.

Jika digunakan bersama pada penyelesai internal yang melakukan validasi, dengan DoT/DoH dan kontrol lalu lintas keluar, keduanya membentuk pertahanan berlapis terhadap serangan DNS yang dibahas dalam kursus ini.