O Shield NS53 protege sua infraestrutura DNS de origem contra ataques de NXDOMAIN

A proteção contra ataques de DNS constantes e crescentes se tornou um desafio urgente para empresas e instituições governamentais que visam oferecer uma experiência digital perfeita para seus clientes, usuários finais e funcionários.

Os ataques de esgotamento de recursos de DNS são popularmente conhecidos por vários outros nomes, que incluem ataques de NXDOMAIN, ataques de PRSD (subdomínio pseudoaleatório), ataques de DNS do tipo Water Torture e ataques de inundação de DNS, entre outros. Antes de termos uma visão de alto nível de como os cibercriminosos arquitetam esse tipo de ataque para entender os vários nomes no discurso técnico e popular, vamos lembrar de como o DNS geralmente funciona.

Fig. 4: As etapas dos bastidores quando um endereço da Web é digitado em uma barra de URL.

O invasor cria consultas de DNS para nomes de domínio inexistentes ou raramente acessados. Cada consulta é projetada para parecer exclusiva, o que significa que nunca foi vista pelo servidor de DNS ou qualquer resolvedor upstream.

Para evitar a detecção e a mitigação, o invasor garante que cada solicitação de DNS ilegítima seja diferente das solicitações de DNS anteriores. Isso impede que os resolvedores upstream armazenem em cache a solicitação e sua resposta, pois eles podem não ter encontrado a mesma consulta antes.

Ao alterar constantemente as consultas, o invasor procura desviar de mecanismos de cache em resolvedores upstream. O cache de DNS ajuda a resolver consultas subsequentes mais rapidamente armazenando nomes de domínio resolvidos anteriormente e seus endereços IP correspondentes. No entanto, se as consultas forem exclusivas a cada vez, o armazenamento em cache se tornará menos eficaz na mitigação do ataque.

Os ataques de NXDOMAIN constituem um desafio significativo para os líderes de segurança de rede, porque fazem com que os servidores de DNS usem seus recursos para procurar subdomínios inexistentes. Essa técnica aumenta a carga sobre a infraestrutura DNS de origem e consome recursos de rede, potencialmente levando à degradação do serviço ou até mesmo a tempo de inatividade para usuários legítimos que tentam acessar serviços legítimos.

O Akamai Edge DNS oferece uma solução de DNS confiável, abrangente e baseada em nuvem, que usa a escala, a segurança e a capacidade do Akamai Connected Cloud para distribuir suas zonas de DNS em vários milhares de servidores em todo o mundo. 

Os clientes delegam sua autoridade de zona ao Edge DNS atualizando os registros do servidor de nomes no registrador e usando aqueles fornecidos pela Akamai. O Akamai Edge DNS oferece uma superfície de ataque inigualável e controles de segurança proativos que podem mitigar até mesmo os maiores ataques de DNS sem afetar o desempenho, a confiabilidade e a disponibilidade do DNS de um cliente.

Em muitos casos, as organizações mantêm a infraestrutura DNS no local e não podem delegar suas zonas autoritativas a uma solução de nuvem externa para se protegerem de vários tipos de ataques  de DNS. Os motivos dessas preferências variam de preocupações de conformidade e configurações dinâmicas em GSLBs de origem a um simples desejo de gerenciar suas zonas autoritativas na origem.

Muitas vezes, essa é uma decisão de negócios baseada no fato de que uma empresa pode já ter feito investimentos de capital significativos na criação de infraestrutura DNS no local, portanto, delegar zonas para a nuvem não seria uma opção financeiramente viável, pelo menos a curto prazo.

Em determinados cenários híbridos, uma organização que delegou algumas de suas zonas de DNS autoritativas ao Edge DNS, mas prefere atender às zonas restantes de uma origem local, deixa a infraestrutura local vulnerável a ataques de esgotamento de recursos de DNS.

Então, como uma organização em um desses cenários pode se proteger contra ataques de esgotamento de recursos de DNS? Adote o Akamai Shield NS53!

O Shield NS53 também ajuda a aliviar a carga em sua infraestrutura DNS local, respondendo a consultas legítimas do cache e encaminhando consultas aos servidores de nomes de origem somente quando necessário. Além disso, a solução reduz a latência e melhora a experiência do usuário acessando os NOMES globais da Akamai em qualquer rede de transmissão, criada com milhares de servidores, para responder às consultas do usuário a partir do ponto de presença mais próximo.

Teoricamente, você pode proteger seu DNS contra ataques de esgotamento de recursos adicionando mais capacidade. Se você tiver mais recursos, serão necessários ataques maiores e mais longos para esgotar esses recursos. No entanto, é evidente que essa abordagem não é financeiramente viável nem uma solução técnica escalável.

O Shield NS53 ajuda as organizações a proteger seu investimento financeiro em sua infraestrutura DNS existente, incluindo servidores de nomes, GSLBs e firewalls, por meio do fortalecimento das soluções já implantadas contra ataques modernos de esgotamento de recursos, reduzindo assim o custo total de propriedade e maximizando o retorno sobre seu investimento na infraestrutura DNS existente.

Tabela: Como você pode adaptar sua solução de segurança com base em suas necessidades específicas

É um eufemismo dizer que vivemos em um mundo incrivelmente conectado digitalmente. Quase todos os aspectos do nosso dia a dia são alimentados por interações digitais. Um dos pilares dessas interações digitais é a infraestrutura DNS subjacente que torna tudo isso possível. Portanto, é absolutamente essencial que as empresas e instituições protejam sua infraestrutura DNS para oferecer experiências digitais otimizadas a seus clientes, usuários finais e funcionários.

O Akamai Shield NS53 é uma nova solução que complementa perfeitamente o Akamai Edge DNS, o Akamai Prolexice o Akamai App & API Protector para criar um portfólio abrangente de soluções de proteção contra DDoS para empresas e instituições que dependem de infraestrutura digital confiável para alimentar suas aplicações e experiências de usuário online.