Che cos'è un DNS protettivo?

Il DNS protettivo (PDNS) è un servizio di sicurezza che analizza le query del DNS per identificare e mitigare le minacce presenti nel traffico del DNS. Consigliati dalla NSA (National Security Agency) e dalla CISA (Cybersecurity and Infrastructure Security Agency), i servizi del DNS protettivo rendono le reti più sicure bloccando malware, ransomware, virus, campagne di phishing e altri attacchi informatici, oltre a impedire al traffico e agli utenti di accedere a siti dannosi.

Il DNS (Domain Name System) è praticamente il GPS per Internet, poiché fornisce le informazioni sugli indirizzi dei computer per i nomi di dominio dei siti web. Il DNS converte i domini web leggibili dall'uomo, come "sitoweb.com" in indirizzi IP (stringhe di numeri e lettere) che possono essere letti dai computer. Quando un utente digita il nome di un dominio in un browser o se un dispositivo tenta di accedere ad un altro dispositivo, viene inviata una richiesta DNS o una query DNS a un server DNS ricorsivo. Il server DNS o "resolver" potrebbe produrre la risposta dai dati memorizzati nella sua cache, inoltrare la richiesta ad altri server ricorsivi che possono risolverla o contattare il server DNS autoritativo che conserva il record ufficiale del dominio o dispositivo selezionato.

Per completare una richiesta, potenzialmente sono necessari diverse risoluzioni DNS, il che rende ancora più importante garantirne la velocità e la sicurezza. Storicamente, il traffico DNS è spesso riuscito ad attraversare i sistemi di sicurezza senza essere esaminato. Inoltre, il DNS non è stato progettato considerando la sicurezza come prioritaria: il suo scopo principale è risolvere in modo rapido e accurato le richieste DNS senza mettere in dubbio le intenzioni delle richieste o la legittimità degli indirizzi IP.

Per questi motivi, il DNS è un bersaglio estremamente allettante per i criminali. Molte minacce informatiche prendono di mira il DNS poiché i criminali tentano di ottenere l'accesso ai sistemi IT o di interromperne il funzionamento. I criminali possono usare il traffico DNS per esfiltrare i dati o per comunicare con i dispositivi infettati da malware in un ambiente IT. Alcuni attacchi come gli attacchi flood o DDoS minacciano la disponibilità dei server DNS, impedendo ad utenti e applicazioni di accedere alle risorse necessarie. Altri attacchi compromettono la legittimità dei server DNS sostituendo le informazioni legittime sul DNS con record fittizi che reindirizzano gli utenti verso siti web alternativi e dannosi. I criminali, inoltre, possono utilizzare i servizi DNS per aumentare l'impatto esercitato da altri tipi di attacchi.

Confrontando ogni richiesta DNS con l'intelligence sulle minacce, i servizi del DNS protettivo possono mitigare molte di queste minacce al DNS.

Il DNS protettivo (PDNS) utilizza un resolver DNS basato su policy con funzionalità di dati per restituire le risposte del DNS sulla base dei criteri delle policy.

Il PDNS utilizza un resolver DNS basato su policy con funzionalità di dati per restituire le risposte del DNS sulla base di specifici criteri.

Per proteggere il DNS, un resolver DNS protettivo controlla il nome del dominio e restituisce gli indirizzi IP sulla base di un elenco di siti con contenuti dannosi noti, impedendo di connettersi a siti sospetti o dannosi.

Dopo aver identificato una query che potrebbe essere dannosa o sospetta, un servizio DNS protettivo può:

• Bloccare la richiesta restituendo una risposta NXDOMAIN a indicare che non è stato trovato un indirizzo IP valido
• Reindirizzare la richiesta ad un'altra pagina predefinita, da cui l'utente viene informato che la query del dominio originale è stata bloccata
• Chiudere il dominio, ritardando l'esecuzione di potenziali minacce informatiche e consentendo ai team addetti alla cybersicurezza di esaminare la minaccia attiva

I servizi PDNS possono:

• Bloccare i nuovi domini in tempo reale dal momento in cui vengono registrati o creati
• Ritardare la risoluzione dei domini con alcune caratteristiche
• Limitare il numero di potenziali domini che possono attaccare l'organizzazione
• Rafforzare la risoluzione del DNS in uscita durante gli attacchi ransoware o malware
• Fornire visibilità sul traffico DNS in uscita cronologico e in tempo reale per assistere con l'analisi e la risposta agli incidenti

I servizi del DNS protettivo classificano i nomi dei domini dannosi nuovi o già noti sulla base dell'intelligence sulle minacce e del riconoscimento di specifici schemi Un sistema PDNS può:

• Bloccare l'accesso ai siti di phishing. Gli attacchi di phishing spesso utilizzano domini che sono molto simili a domini comuni per indurre gli utenti a rivelare credenziali, informazioni sugli account e altri dati sensibili. Il PDNS può impedire agli utenti di connettersi inconsapevolmente a questi siti o di fare clic su collegamenti dannosi.
• Prevenire la distribuzione di malware. Il DNS protettivo può bloccare e avvisare in caso di tentativi di connessione dannosi a siti che sono noti per i loro contenuti di malware o che vengono usati dagli hacker per la distribuzione di malware CnC (Command and Control).
• Bloccare gli algoritmi di generazione del dominio. I criminali utilizzano gli algoritmi di generazione del dominio (DGA) per generare in modo programmatico i nomi dei domini nel tentativo di aggirare i sistemi di sicurezza del DNS progettati per bloccare i nomi dei domini e gli indirizzi IP statici. Il PDNS protegge da questo tipo di malware analizzando e contrassegnando gli attributi di testo, come l'alto livello di entropia del nome della query, che sono noti per essere associati ai DGA.
• Filtrare i contenuti. Le organizzazioni p ossono anche utilizzare le funzionalità di filtraggio dei contenuti del PDNS per bloccare l'accesso degli utenti ai siti che violano le policy di utilizzo accettabili, come i siti web utilizzati per il gioco d'azzardo o i contenuti indirizzati ad un pubblico adulto.

Le funzionalità del PDNS (Protective Domain Name System) possono essere implementate in pochi minuti da un provider di questo servizio. Le soluzioni di livello superiore offrono il PDNS come servizio ad alta disponibilità che può essere implementato nelle architetture ibride. La capacità di personalizzare il servizio in base al dispositivo, al gruppo e alla rete in uso è fondamentale. I servizi che forniscono funzioni di analisi e rilevamento basate sull'intelligenza artificiale aiutano a bloccare non solo le minacce note, ma anche quelle emergenti.