Cara DNS Bekerja dan Risikonya

Sistem Nama Domain (DNS) menerjemahkan nama yang mudah dipahami manusia seperti example.com menjadi alamat IP seperti 93.184.216.34. Hampir setiap transaksi jaringan dimulai dengan pencarian DNS, yang menjadikan DNS target bernilai tinggi.

Jika penyerang mengendalikan atau memanipulasi resolusi nama, mereka dapat mengarahkan korban secara diam-diam ke server berbahaya, menyadap lalu lintas, atau mengekstrak data tanpa menyentuh aplikasi itu sendiri. Memahami jalur resolusi adalah langkah pertama untuk melindunginya.

Pencarian rekursif yang umum menelusuri rantai server:

• Penyelesai stub pada klien (OS).
• Penyelesai rekursif (ISP Anda atau 8.8.8.8) yang menangani prosesnya.
• Server akar yang menunjuk ke server TLD.
• Server TLD (misalnya .com) yang menunjuk ke server otoritatif.
• Server otoritatif yang menyimpan catatan sebenarnya.

Setiap lompatan berpotensi menjadi titik intersepsi atau pemalsuan.

Penyelesai rekursif menjawab setiap kueri dengan mengikuti rujukan atas nama klien dan menyimpan hasilnya dalam tembolok. Server otoritatif hanya menjawab untuk zona yang dikelolanya, dengan data definitif.

Dari sisi keamanan, penyelesai rekursif terbuka dapat disalahgunakan untuk serangan amplifikasi, sementara server otoritatif menjadi target pembajakan zona dan kompromi registrar. Batasi rekursi hanya untuk jaringan Anda sendiri.

Catatan yang akan Anda temui selama analisis:

• A / AAAA — alamat IPv4 / IPv6.
• CNAME — alias ke nama lain (waspadai CNAME yang menggantung dan dapat menyebabkan pengambilalihan subdomain).
• MX — server email.
• NS — delegasi ke server otoritatif.
• TXT — teks bebas, digunakan untuk SPF, DKIM, dan sering disalahgunakan untuk penerowongan.

DNS klasik berjalan melalui UDP port 53, dengan mekanisme cadangan ke TCP 53 untuk respons besar dan transfer zona. UDP tidak berorientasi koneksi dan tidak menyimpan status, sehingga tidak ada jabat tangan untuk membuktikan bahwa penjawab adalah pihak yang diklaimnya.

Satu-satunya pengaitan antara kueri dan jawabannya adalah ID transaksi 16-bit dan port sumber. Ikatan yang lemah ini menjadi akar penyebab pemalsuan dan peracunan tembolok.

Untuk mengurangi beban, penyelesai menyimpan jawaban dalam tembolok selama TTL (masa hidup) catatan. Respons dengan TTL 3600 tetap tersimpan dalam tembolok selama satu jam.

Penyimpanan dalam tembolok memiliki dua sisi: meningkatkan performa, tetapi satu jawaban yang telah diracuni dapat disajikan kepada banyak korban hingga TTL kedaluwarsa. Penyerang sering mencoba menetapkan TTL panjang agar entri berbahaya tetap ada.

DNS membuka banyak permukaan serangan:

• Pemalsuan di jalur — memalsukan respons lebih cepat daripada server yang sah.
• Peracunan tembolok — menyisipkan catatan buruk ke dalam tembolok penyelesai.
• Pembajakan registrar / zona — merebut kendali atas domain itu sendiri.
• Penerowongan — menyandikan data di dalam kueri untuk melewati kontrol lalu lintas keluar.
• Amplifikasi DDoS — menyalahgunakan penyelesai terbuka sebagai pemantul.

DNS biasa tidak memberikan jaminan integritas atau keaslian. Respons dipercaya jika cocok dengan IP sumber, port tujuan, nama kueri, dan ID transaksi. Semua ini dapat ditebak atau diamati oleh penyerang di jalur.

Asumsi rancangan ini (bahwa jaringan dapat dipercaya) adalah alasan perlindungan tambahan seperti DNSSEC, DNS melalui TLS (DoT), dan DNS melalui HTTPS (DoH) ada.

Sebelum menyerang, pihak lawan mencacah DNS untuk memetakan seluruh aset Anda. Transfer zona yang salah konfigurasi (AXFR) dapat menyalin semua catatan. Pencobaan semua kemungkinan pada subdomain dan log transparansi sertifikat mengungkap host tersembunyi.

Pembela harus membatasi transfer zona ke server sekunder yang dikenal dan memantau pola kueri massal yang menandakan pencacahan.

DNS melalui TLS (port 853) dan DNS melalui HTTPS (port 443) mengenkripsi kueri sehingga pengamat di jalur tidak dapat membaca atau mengubahnya. Ini mengurangi efektivitas pemalsuan dan melindungi privasi.

Konsekuensinya bagi pembela: DNS terenkripsi dapat membutakan penyaringan dan pemantauan milik sendiri. Banyak perusahaan mengunci klien agar menggunakan penyelesai DoH/DoT yang dikendalikan, alih-alih membiarkan titik akhir memilih penyelesai eksternal.

Penguatan praktis untuk jalur resolusi:

• Jalankan penyelesai rekursif internal; blokir akses keluar langsung ke port 53 menuju internet.
• Nonaktifkan rekursi terbuka pada server otoritatif.
• Batasi dan catat transfer zona AXFR.
• Kunci domain pada registrar (penguncian registri, MFA).
• Pantau volume dan entropi kueri untuk mendeteksi penerowongan dan pencacahan.

Uji pemahaman Anda tentang alasan DNS terekspos.

Anda telah mempelajari bahwa resolusi DNS menelusuri rantai dari penyelesai stub melalui server akar, TLD, dan server otoritatif, serta bahwa jawaban disimpan dalam tembolok berdasarkan TTL. Karena DNS klasik melalui UDP/53 tidak memiliki autentikasi, DNS rentan terhadap pemalsuan, peracunan tembolok, pembajakan, penerowongan, dan amplifikasi.

Pertahanan utama: rekursi tertutup, transfer zona terbatas, penguncian registrar, transportasi terenkripsi (DoT/DoH), dan DNSSEC. Berikutnya, kita membahas pemalsuan dan peracunan tembolok secara mendetail.