DNSSEC e filtragem de DNS

O DNS simples não oferece autenticidade. Duas defesas complementares tratam desse problema: o DNSSEC comprova que as respostas são genuínas e não foram adulteradas, enquanto a filtragem de DNS bloqueia a resolução de nomes conhecidos como maliciosos. Juntas, elas protegem a integridade e reduzem a superfície de ataque.

Esta lição explica como cada uma funciona e onde se encaixa em uma estratégia de segurança de DNS em camadas.

DNSSEC (Extensões de segurança do DNS) adiciona assinaturas criptográficas aos dados de DNS. Ela garante:

• Autenticidade da origem — a resposta veio do verdadeiro proprietário da zona.
• Integridade dos dados — a resposta não foi modificada durante o transporte.

É importante destacar que o DNSSEC não oferece confidencialidade. As consultas e respostas continuam em texto não criptografado; para ter privacidade, ainda é necessário usar DNS sobre TLS ou DNS sobre HTTPS.

Cada conjunto de registros em uma zona assinada recebe um registro RRSIG: uma assinatura digital sobre esses dados. A chave pública correspondente é publicada como um registro DNSKEY.

Um resolvedor validador obtém o RRSIG e o DNSKEY e, em seguida, verifica a assinatura. Se a verificação falhar, a resposta será rejeitada como falsificada, em vez de ser entregue ao cliente.

A confiança desce pela hierarquia. Uma zona pai publica um registro DS (Assinante da delegação) que calcula o hash do DNSKEY da zona filha. A cadeia segue: raiz → TLD → seu domínio.

Um resolvedor validador começa pela âncora de confiança raiz incorporada diretamente e segue os registros DS para baixo. Se algum elo estiver ausente ou incorreto, a validação falhará. Publicar o DS no registrador é o que ativa o DNSSEC para o seu domínio.

As zonas usam duas funções de chave:

• ZSK (Chave de assinatura da zona) — assina os registros reais e é substituída com frequência.
• KSK (Chave de assinatura de chaves) — assina o conjunto DNSKEY, tem duração maior e é referenciada pelo DS pai.

Separar as funções permite substituir a ZSK sem alterar a delegação pai, simplificando o gerenciamento de chaves.

O DNSSEC também precisa provar que um nome não existe. Os registros NSEC assinam as lacunas entre os nomes existentes, mas permitem que os atacantes percorram e enumerem toda a zona.

O NSEC3 resolve esse problema assinando nomes com hash em vez de texto simples, dificultando a enumeração da zona. Prefira NSEC3 (ou NSEC3 com exclusão) para zonas que não deseja tornar completamente rastreáveis.

Seja realista quanto ao escopo:

• Nenhuma confidencialidade, apenas integridade e autenticidade.
• A validação precisa ocorrer em um resolvedor confiável; o último trecho até o cliente ainda fica desprotegido sem DNS sobre TLS ou DNS sobre HTTPS.
• Assinaturas configuradas incorretamente ou expiradas causam indisponibilidades, portanto monitore a validade das assinaturas.
• Respostas maiores aumentam o potencial de amplificação se a recursão aberta permanecer ativada.

A filtragem de DNS usa o resolvedor como ponto de aplicação de políticas. Quando um cliente consulta um domínio malicioso ou indesejado, o resolvedor recusa ou reescreve a resposta, geralmente direcionando-a para um sumidouro ou uma página de bloqueio.

Ela é barata, rápida e independente de protocolo: bloquear a consulta impede o comando e controle de programas maliciosos, o phishing e categorias indesejadas antes mesmo que uma conexão seja tentada.

RPZ é uma forma padrão de aplicar políticas de firewall DNS. O resolvedor carrega zonas de políticas, locais ou provenientes de fontes de inteligência contra ameaças, e pode:

• Retornar NXDOMAIN (o nome não existe).
• Retornar NODATA.
• Redirecionar para um sumidouro ou para um IP de ambiente restrito.
• Permitir a passagem com registro.

O redirecionamento para um sumidouro é poderoso na resposta a incidentes: redirecione domínios conhecidos de comando e controle e observe quais máquinas tentam acessá-los.

O valor da filtragem depende da qualidade dos dados. Alimente o resolvedor com:

• Listas selecionadas de indicadores de programas maliciosos, phishing e comando e controle.
• Fontes de domínios recém-registrados e de baixa reputação, frequentemente maliciosos.
• Políticas de categorias, por exemplo, bloquear anonimizadores conhecidos em dispositivos corporativos.

Combine a filtragem com registros para que as consultas bloqueadas se tornem sinais de detecção, e não apenas recusas silenciosas.

As duas defesas são complementares, não concorrentes:

• DNSSEC garante que as respostas recebidas sejam autênticas e não tenham sido adulteradas.
• Filtragem/RPZ garante que nomes conhecidos como maliciosos nunca sejam resolvidos.

Implante ambas em resolvedores internos validadores, adicione DNS sobre TLS ou DNS sobre HTTPS para obter privacidade no último trecho, aplique controles de saída e terá uma postura de segurança de DNS forte e em camadas.

O DNSSEC autentica respostas DNS usando assinaturas RRSIG, a cadeia de confiança DNSKEY/DS a partir da âncora raiz e NSEC/NSEC3 para negação autenticada, mas não oferece confidencialidade. A filtragem de DNS (RPZ, redirecionamento para sumidouros e fontes de ameaças) impede a resolução de nomes conhecidos como maliciosos e transforma bloqueios em detecções.

Usadas em conjunto em resolvedores internos validadores, com DNS sobre TLS ou DNS sobre HTTPS e controles de saída, elas formam uma defesa em camadas contra os ataques de DNS abordados neste curso.