DNSSEC e filtraggio DNS

Il DNS tradizionale non offre autenticità. Due difese complementari affrontano questo problema: DNSSEC dimostra che le risposte sono autentiche e non alterate, mentre il filtraggio DNS blocca la risoluzione dei nomi noti come dannosi. Insieme proteggono l'integrità e riducono la superficie di attacco.

Questa lezione illustra il funzionamento di ciascuna difesa e il suo ruolo in una strategia di sicurezza DNS multilivello.

DNSSEC (DNS Security Extensions) aggiunge firme crittografiche ai dati DNS. Garantisce:

• Autenticità dell'origine — la risposta proviene dal vero proprietario della zona.
• Integrità dei dati — la risposta non è stata modificata durante il transito.

È importante notare che DNSSEC non garantisce la riservatezza. Query e risposte restano in chiaro; per la privacy sono comunque necessari DoT/DoH.

Ogni insieme di record in una zona firmata riceve un record RRSIG: una firma digitale su quei dati. La chiave pubblica corrispondente viene pubblicata in un record DNSKEY.

Un resolver che esegue la convalida recupera RRSIG e DNSKEY, quindi verifica la firma. Se la verifica fallisce, la risposta viene rifiutata come non valida (bogus) invece di essere restituita al client.

La fiducia fluisce lungo la gerarchia. Una zona padre pubblica un record DS (Delegation Signer) che contiene l'hash della DNSKEY della zona figlia. La catena segue questo percorso: root → TLD → il vostro dominio.

Un resolver che esegue la convalida parte dall'ancora di fiducia della root preconfigurata e segue i record DS verso il basso. Se manca un collegamento o se è errato, la convalida fallisce. È la pubblicazione del DS presso il registrar ad attivare DNSSEC per il vostro dominio.

Le zone utilizzano due ruoli per le chiavi:

• ZSK (Zone Signing Key) — firma i record effettivi e viene ruotata frequentemente.
• KSK (Key Signing Key) — firma l'insieme DNSKEY, ha una durata maggiore ed è referenziata dal DS della zona padre.

Separare i ruoli consente di ruotare la ZSK senza modificare la delega della zona padre, semplificando la gestione delle chiavi.

DNSSEC deve anche dimostrare che un nome non esiste. I record NSEC firmano gli intervalli tra i nomi esistenti, ma consentono agli attaccanti di percorrerli e enumerare l'intera zona.

NSEC3 risolve il problema firmando nomi sottoposti ad hashing invece dei nomi in chiaro, ostacolando l'enumerazione della zona. Preferisca NSEC3 (o NSEC3 opt-out) per le zone che non desidera rendere completamente esplorabili.

È importante valutarne realisticamente l'ambito:

• Nessuna riservatezza, ma solo integrità e autenticità.
• La convalida deve avvenire presso un resolver affidabile; l'ultimo miglio fino allo stub resta non protetto senza DoT/DoH.
• Firme configurate erroneamente o scadute causano interruzioni, quindi è necessario monitorarne la validità.
• Risposte più grandi aumentano il potenziale di amplificazione se la ricorsione aperta resta attiva.

Il filtraggio DNS utilizza il resolver come punto di applicazione delle policy. Quando un client cerca un dominio dannoso o indesiderato, il resolver rifiuta o riscrive la risposta, spesso indirizzandola verso un sinkhole o una pagina di blocco.

È economico, rapido e indipendente dal protocollo: bloccare la ricerca impedisce il C2 del malware, il phishing e l'accesso a categorie indesiderate prima ancora che venga tentata una connessione.

RPZ è un metodo standard per applicare le policy di un firewall DNS. Il resolver carica zone di policy, locali o provenienti da feed di threat intelligence, e può:

• Restituire NXDOMAIN (il nome non esiste).
• Restituire NODATA.
• Reindirizzare verso un sinkhole o verso l'IP di un walled garden.
• Lasciare passare la richiesta registrando l'evento.

Il sinkholing è molto utile nella risposta agli incidenti: reindirizzi i domini C2 noti e osservi quali host tentano di raggiungerli.

Il valore del filtraggio dipende dalla qualità dei dati. Alimenta il resolver con:

• Liste curate di indicatori di malware, phishing e C2.
• Feed di domini registrati di recente e con reputazione bassa (spesso dannosi).
• Policy per categoria, ad esempio il blocco degli strumenti di anonimizzazione noti sui dispositivi aziendali.

Abbini il filtraggio alla registrazione degli eventi, in modo che le ricerche bloccate diventino segnali di rilevamento e non semplici rifiuti silenziosi.

Le due difese sono complementari, non alternative:

• DNSSEC garantisce che le risposte ricevute siano autentiche e non alterate.
• Filtraggio/RPZ garantisce che i nomi noti come dannosi non vengano mai risolti.

Implementi entrambe le difese sui resolver interni che eseguono la convalida, aggiunga DoT/DoH per la privacy nell'ultimo miglio, applichi i controlli sul traffico in uscita e otterrà una solida postura di sicurezza DNS multilivello.

Confermi ciò che DNSSEC garantisce realmente.

DNSSEC autentica le risposte DNS tramite le firme RRSIG, la catena di fiducia DNSKEY/DS che parte dall'ancora della root e NSEC/NSEC3 per la negazione autenticata, ma non offre riservatezza. Il filtraggio DNS (RPZ, sinkholing, feed di threat intelligence) impedisce la risoluzione dei nomi noti come dannosi e trasforma i blocchi in segnali di rilevamento.

Utilizzate insieme su resolver interni che eseguono la convalida, con DoT/DoH e controlli sul traffico in uscita, queste difese formano una protezione multilivello contro gli attacchi DNS trattati nel corso.