Shield NS53 protegge l'infrastruttura DNS di origine dagli attacchi NXDOMAIN

La protezione da attacchi al DNS sostenuti e in continuo aumento è diventata una priorità urgente per aziende e istituzioni governative che mirano a fornire un'eccellente experience digitale per i loro clienti, utenti finali e dipendenti.

Gli attacchi di esaurimento delle risorse DNS sono noti comunemente con tanti altri nomi, come attacchi NXDOMAIN, attacchi di sottodominio pseudocasuale (PRSD), attacchi DNS Water Torture e attacchi flood al DNS. Prima di passare ad una descrizione approfondita di come i criminali informatici progettano questo tipo di attacco per dare senso ai vari nomi sia comuni che tecnici, ricordiamo come funziona solitamente un sistema DNS.

Figura 4. Passaggi che si verificano dietro le quinte quando si digita un indirizzo web in una barra URL.

Il criminale crea query DNS per nomi di dominio non esistenti o a cui si accede raramente. Ogni query viene concepita per sembrare univoca a indicare che il server DNS o un resolver upstream non l'ha mai vista prima.

Per evitare il rilevamento e la mitigazione, il criminale garantisce che ciascuna richiesta DNS illegittima sia diversa dalle precedenti richieste DNS. In tal modo, i resolver upstream non possono memorizzare nella cache la richiesta e la relativa risposta perché non hanno mai incontrato prima la stessa query.

Cambiando costantemente le query, il criminale mira a bypassare i meccanismi di memorizzazione nella cache dei resolver upstream. La memorizzazione nella cache del DNS aiuta a risolvere le query successive più rapidamente memorizzando i nomi di dominio risolti in precedenza e i corrispondenti indirizzi IP. Tuttavia, se le query sono ogni volta univoche, la memorizzazione nella cache diventa meno efficace nella mitigazione dell'attacco.

Gli attacchi NXDOMAIN costituiscono un problema significativo per i responsabili della sicurezza di rete perché forzano i server DNS a utilizzare le loro risorse per cercare sottodomini inesistenti. Questa tecnica aumenta il carico di lavoro per l'infrastruttura DNS di origine e utilizza le risorse di rete, causando potenzialmente un peggioramento dei servizi o, persino, problemi di downtime per gli utenti legittimi che cercano di accedere a servizi legittimi.

Akamai Edge DNS offre una soluzione di DNS autoritativo completa, personalizzata e basata sul cloud che utilizza la portata, la sicurezza e la capacità di Akamai Connected Cloud per distribuire le zone DNS nelle migliaia di server in tutto il mondo. 

I clienti delegano la loro autorità di zona alla soluzione Edge DNS aggiornando i record del server dei nomi sul registrar e utilizzando i dati forniti da Akamai. Akamai Edge DNS fornisce eccellenti controlli proattivi per la sicurezza e la superficie di attacco in grado di mitigare anche i più vasti attacchi DNS senza influire sulle performance, sull'affidabilità e sulla disponibilità del DNS del cliente.

In molti casi, le organizzazioni mantengono l'infrastruttura DNS on-premise e non possono delegare le loro zone autoritative ad una soluzione cloud esterna per proteggersi da vari tipi di attacchi DNS . I motivi di queste preferenze variano da problemi di conformità alle configurazioni dinamiche sui GSLB di origine fino alla semplice intenzione di gestire le proprie zone autoritative sull'origine.

Spesso, si tratta di una decisione aziendale basata sul fatto che un'azienda potrebbe aver già investito consistenti capitali nella creazione di un'infrastruttura DNS on-premise; pertanto, delegare le zone al cloud potrebbe non essere un'opzione finanziariamente sostenibile, almeno nell'immediato futuro.

In alcuni ambienti ibridi, un'organizzazione che ha delegato alcune zone del DNS autoritativo alla soluzione Edge DNS, ma che preferisce gestire le zone rimanenti da un'origine on-premise, lascia l'infrastruttura on-premise vulnerabile agli attacchi di esaurimento delle risorse DNS.

In che modo quindi un'organizzazione che si trova in queste situazioni può proteggersi dagli attacchi di esaurimento delle risorse DNS? Ma con Akamai Shield NS53!

Shield NS53 aiuta anche ad alleggerire il carico di lavoro che grava sull'infrastruttura DNS on-premise rispondendo alle query legittime dalla cache e inoltrando le query ai server dei nomi di origine solo se necessario. Inoltre, la soluzione riduce la latenza e migliora le user experience accedendo alla rete NAMES Anycast di Akamai distribuita globalmente, che è costituita da migliaia di server, per rispondere alle query degli utenti dal PoP più vicino.

In teoria, potete proteggere il sistema DNS dagli attacchi di esaurimento delle risorse con una maggiore capacità. Se disponete di più risorse, gli attacchi dovranno essere più vasti e lunghi per esaurirle. Tuttavia, è abbastanza evidente che un tale approccio non è una soluzione tecnica finanziariamente sostenibile né scalabile.

Shield NS53 aiuta le organizzazioni a proteggere gli investimenti finanziari che hanno effettuato nella loro infrastruttura DNS esistente, inclusi server dei nomi, GSLB e firewall, rafforzando le soluzioni già implementate per consentire di proteggersi meglio dai moderni attacchi di esaurimento delle risorse, abbassando così il costo totale di proprietà e massimizzando il ritorno sugli investimenti effettuati nell'infrastruttura DNS esistente.

Tabella: come potete personalizzare la vostra soluzione per la sicurezza in base alle vostre specifiche esigenze

Dire che viviamo in un mondo incredibilmente connesso in modo digitale significa sminuire la situazione. Quasi tutti gli aspetti della nostra vita quotidiana sono basati sulle interazioni digitali. Uno dei pilastri fondamentali di queste interazioni digitali è rappresentato dall'infrastruttura DNS sottostante che rende possibile tutto ciò. Ecco perché è assolutamente fondamentale per le aziende e le istituzioni proteggere la loro infrastruttura DNS in modo da offrire eccellenti experience digitali ai loro clienti, utenti finali e dipendenti.

Akamai Shield NS53 è una nuova soluzione che si integra perfettamente con Akamai Edge DNS, Akamai Prolexice Akamai App & API Protector per creare una gamma completa di soluzioni per la protezione dagli attacchi DDoS per le aziende e le istituzioni che si basano su un'affidabile infrastruttura digitale allo scopo di ottimizzare le loro applicazioni e user experience online.