Hace poco, ayud\u00e9 a un amigo a resolver un incidente de secuestro de DNS y descubr\u00ed que mucha gente sigue utilizando un servicio de resoluci\u00f3n de nombres de dominio b\u00e1sico. El atacante dirigi\u00f3 el tr\u00e1fico a sitios de phishing, y las quejas de los usuarios volaron como copos de nieve. Hoy en d\u00eda, incluso las CDN tienen que \u201cprevenir a los compa\u00f1eros de equipo\u201d, por no hablar de las DNS p\u00fablicas.<\/p>\n
Puede que piense que con un CDN de alta defensa todo ir\u00e1 bien, pero no lo olvide: el DNS es la primera puerta de entrada del tr\u00e1fico. Si la puerta es forzada, la pared detr\u00e1s de ella no sirve para construir un muro alto. He probado varios casos, 90% \u201canomal\u00eda de tr\u00e1fico\u201d no es un ataque CC, pero el nivel de DNS ha sido perforado hace tiempo.<\/p>\n
Hace tiempo que el secuestro de DNS es algo m\u00e1s que cambiar una resoluci\u00f3n.<\/strong>Ahora est\u00e1 de moda el \u201cpaquete man-in-the-middle\u201d. Ahora est\u00e1 de moda el \"paquete de hombre en el medio\": primero contaminar la cach\u00e9 DNS local, y luego con la manipulaci\u00f3n de respuesta a nivel de ISP, e incluso directamente contra el registrador para lanzar ataques. El a\u00f1o pasado, el nombre de dominio de una conocida empresa de comercio electr\u00f3nico se se\u00f1al\u00f3 a una IP maliciosa, la causa ra\u00edz es la cuenta del registrador trabajadores sociales, y CDN no tiene nada que ver con - pero los usuarios s\u00f3lo se sentir\u00e1 que su sitio se derrumb\u00f3.<\/p>\n Es hora de sacar a relucir el viejo caballo de batalla DNSSEC. No se asuste por esta palabra, para decirlo sin rodeos, se trata de hacer firmas digitales para los registros DNS. Como si vas al banco a sacar dinero, el cajero no s\u00f3lo para comprobar la tarjeta de identificaci\u00f3n (resoluci\u00f3n de nombres de dominio), sino tambi\u00e9n para comprobar las huellas dactilares (firma digital). Falsificaci\u00f3n tendr\u00eda que aplastar a trav\u00e9s de la base criptogr\u00e1fica, el costo de tir\u00f3n directo completo.<\/p>\n Sin embargo, mucha gente pisa m\u00e1s baches que problemas cuando configura DNSSEC. Por ejemplo, utilizan algunos registradores extranjeros pero se olvidan de activar la sincronizaci\u00f3n de registros DS, o el TTL se establece en una longitud enorme, lo que resulta en una lenta reversi\u00f3n como un caracol en caso de fallo. La lecci\u00f3n m\u00e1s dolorosa que aprend\u00ed fue cuando lo desplegu\u00e9 en una plataforma financiera, porque el servidor NS no soportaba EDNS0, lo que provoc\u00f3 directamente el timeout de resoluci\u00f3n para los usuarios de Asia-Pac\u00edfico - la historia de sangre y l\u00e1grimas nos lo dice:Haz pruebas antes de ponerte en marcha y no te f\u00edes de la \u201ccompatibilidad por defecto\u201d de los proveedores.\u201d<\/strong>\u3002<\/p>\n Aqu\u00ed para publicar una prueba real utilizable DNSSEC secuencia de comandos de verificaci\u00f3n (no se puede ejecutar a golpearme):<\/p>\n DNSSEC por s\u00ed sola no es suficiente. Entorno de la red dom\u00e9stica es demasiado complejo, los usuarios de telecomunicaciones van Unicom retraso de l\u00ednea se dispar\u00f3 a 300ms es com\u00fan. Esta vez tenemos que ofrecer el arma m\u00e1gica de resoluci\u00f3n multil\u00ednea. Pero no seas tonto con la divisi\u00f3n geogr\u00e1fica - ahora los usuarios est\u00e1n colgando VPN, que el enrutamiento de la ubicaci\u00f3n geogr\u00e1fica IP no es tan fiable como lanzar dardos.<\/p>\n Mi programa actual esestrategia de desv\u00edo a tres niveles<\/strong>El primer paso consiste en identificar la red troncal del operador mediante ASN (Autonomous System Number), luego ajustar din\u00e1micamente el peso en funci\u00f3n del retardo en tiempo real y, por \u00faltimo, utilizar Anycast para garantizar el fondo. En concreto, los proveedores de servicios con BGP Anycast como CDN07, junto con el an\u00e1lisis sint\u00e1ctico multil\u00ednea, pueden endurecer la latencia de an\u00e1lisis a menos de 50 ms.<\/p>\n Tomemos el caso de nuestra migraci\u00f3n a 08Host el a\u00f1o pasado: los usuarios de telecomunicaciones originales siempre se enrutan a los nodos Unicom, y luego en el nivel de DNS para hacer la identificaci\u00f3n ASN + detecci\u00f3n de retardo, directamente dejar que la tasa de aciertos de resoluci\u00f3n aument\u00f3 en 40%. la configuraci\u00f3n es largo como este:<\/p>\n Pero no creas que puedes estar tranquilo con DNSSEC+Multiline en tu manga.Envenenamiento de cach\u00e9 DNS, DDoS de servidor NS, e incluso falsificaci\u00f3n de registro de transparencia de certificados...... los atacantes juegan m\u00e1s trucos de lo que piensas. Una vez me top\u00e9 con un equipo que plantaba un troyano dirigido espec\u00edficamente al envenenamiento recursivo de DNS en peque\u00f1os operadores porque su versi\u00f3n de software DNS segu\u00eda estancada en 2014.<\/p>\n El valor real de un CDN de alta defensa est\u00e1 en los bolsillos<\/strong>. Los nodos como CDN5 verificar\u00e1n los resultados de la resoluci\u00f3n DNS dos veces: si se detecta que la IP resuelta coincide con la base de datos de inteligencia de amenazas, se activa directamente el proceso de limpieza. Esto equivale a a\u00f1adir un doble seguro al DNS: incluso si se manipula la resoluci\u00f3n del front-end, el tr\u00e1fico hacia el nodo de borde tiene una \u00faltima oportunidad de corregir el error.<\/p>\n A\u00f1ade una teor\u00eda de la tormenta final:Atreverse a no utilizar el equipo de DNSSEC en 2024 equivale a circular por la autopista en una furgoneta con dinero sin caja fuerte.<\/strong>Pero no exagere. Pero no exagere - He visto una empresa a los dominios de prueba interna tambi\u00e9n en un conjunto completo de DNSSEC, cada vez que cambie el registro de esperar a que la sincronizaci\u00f3n de la firma, los desarrolladores casi poner la operaci\u00f3n y mantenimiento de sacrificio.<\/p>\n La verdadera arquitectura fiable tiene que estar anidada como una cebolla: autenticaci\u00f3n de tubo DNSSEC, optimizaci\u00f3n del rendimiento de tubo de an\u00e1lisis sint\u00e1ctico multil\u00ednea, limpieza de tr\u00e1fico de tubo CDN de alta defensa. Por cierto, Amway una operaci\u00f3n desenfrenada: CNAME aplanar el registro alias del proveedor de CDN aplanamiento, tanto para disfrutar del efecto acelerador de CDN, sino tambi\u00e9n para evitar la resoluci\u00f3n de la cadena es demasiado larga que conduce a puntos de fallo.<\/p>\n Para ponerlo en perspectiva: muchas organizaciones siguen centrando sus inversiones en seguridad en cortafuegos y WAF, y la seguridad DNS se deja al azar. Pero si nos fijamos en los principales incidentes de seguridad de los \u00faltimos a\u00f1os, desde el secuestro de GitHub hasta la quiebra del banco brasile\u00f1o, \u00bfcu\u00e1l no fue arrancado del nivel DNS?La resoluci\u00f3n de nombres de dominio es las dos venas de Internet, si se pincha aqu\u00ed, todas las defensas posteriores son s\u00f3lo para aparentar.<\/strong>\u3002<\/p>\n Por cierto, si usted est\u00e1 en el proceso de selecci\u00f3n de un modelo, recuerde que debe probar la compatibilidad DNSSEC del proveedor. \u00a1Algunos de los viejos vendedores (por no nombrar) EDNS apoyo apesta como un colador, ser\u00eda mejor utilizar 08Host como proveedores de servicios emergentes - al menos desde el primer d\u00eda de su nacimiento de la pila completa de apoyo DoH \/ DoT. datos medidos aqu\u00ed: el mismo nodo para abrir el DoH, las fluctuaciones de latencia de resoluci\u00f3n de 200 ms a menos de 30 ms! La raz\u00f3n es que se salta la cadena de contaminaci\u00f3n DNS del ISP local.<\/p>\n Esta cosa de la tecnolog\u00eda es m\u00e1s miedo a medias. Ya sea como la puerta de al lado Wang equipo completamente mentira plana con el DNS p\u00fablico, o honestamente DNSSEC + multil\u00ednea + CDN suite de tres piezas completa. El m\u00e1s miedo de la clase de gastar millones para comprar alta defensa, el resultado es ahorrar unos pocos miles de DNS versi\u00f3n profesional del servicio - lo mismo que a la b\u00f3veda para instalar cerraduras de iris, pero la clave se inserta en la puerta.<\/p>\n La pr\u00f3xima vez que se encuentre con un \u201csitio no se puede abrir, pero ping a trav\u00e9s de\u201d eventos ps\u00edquicos, en primer lugar sacar la mano de la DNS de diagn\u00f3stico de tres ejes: comprobar los registros DS, comprobar la firma RRSIG, medir el enrutamiento de l\u00ednea. Garantizado el 80% del problema puede ser localizado en el acto - el 20% restante? Esa es la red troncal operador bombardeado, date prisa para empapar fideos y otra repararlo.<\/p>","protected":false},"excerpt":{"rendered":" Hace poco, ayud\u00e9 a un amigo a resolver un incidente de secuestro de DNS y descubr\u00ed que mucha gente sigue utilizando un servicio de resoluci\u00f3n de nombres de dominio b\u00e1sico. El atacante dirigi\u00f3 el tr\u00e1fico a sitios de phishing, y las quejas de los usuarios volaron como copos de nieve. Hoy en d\u00eda, incluso la CDN tiene que \u201cprevenir a los compa\u00f1eros de equipo\u201d, por no hablar del DNS p\u00fablico. Puede que piense que todo ir\u00e1 bien si utiliza una CDN de alta defensa, pero no lo olvide: el DNS es la primera puerta de entrada del tr\u00e1fico. Si la puerta es forzada, la parte trasera del muro no sirve de nada para construir a\u00fan m\u00e1s alto. He probado varios casos, 90% \u201canomal\u00eda de tr\u00e1fico\u201d no es un ataque CC, pero el nivel de DNS ha sido perforado desde hace mucho tiempo. El secuestro de DNS ha sido durante mucho tiempo m\u00e1s que cambiar un resultado de resoluci\u00f3n tan simple. \u00a1Ahora popular es el \u201cpaquete de hombre en el medio\u201d: primero contaminar la cach\u00e9 DNS local, a continuaci\u00f3n, con la respuesta a nivel de ISP a la manipulaci\u00f3n, e incluso directamente!<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-945","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/945","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=945"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/945\/revisions"}],"predecessor-version":[{"id":1180,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/945\/revisions\/1180"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=945"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=945"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=945"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=945"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}