Il DNS e il protocollo piu trascurato nella sicurezza di rete. Ogni dispositivo nella tua rete fa query DNS centinaia di volte al giorno, e il 91% del malware utilizza il DNS per le comunicazioni C2 (command and control), l'esfiltrazione di dati, o la risoluzione di domini malevoli. Eppure, la maggior parte delle aziende che incontro non monitora nemmeno il proprio traffico DNS. Le best practice di DNS security possono bloccare una percentuale significativa di minacce prima che raggiungano gli endpoint.
Cosa puoi fare con il DNS
Primo livello: DNS filtering. Blocca le query verso domini malevoli conosciuti usando feed di threat intelligence. Nel mio homelab uso un sistema di DNS filtering integrato con Unbound come resolver ricorsivo. In azienda, soluzioni come Cisco Umbrella o Cloudflare Gateway fanno lo stesso su scala enterprise. Il blocco a livello DNS e efficace perche agisce prima che la connessione venga stabilita - il malware non puo comunicare con il C2 se la risoluzione DNS fallisce.
DNS monitoring: vedere l'invisibile
Il secondo livello e il monitoring attivo del traffico DNS. Query verso domini DGA (Domain Generation Algorithm), tunneling DNS (esfiltrazione di dati nascosta in query DNS), query anomale per volume o timing, richieste verso nameserver insoliti - sono tutti indicatori di compromissione che il tuo SIEM dovrebbe correlare. In Presidio, le regole Wazuh includono detection per pattern DNS anomali, e i risultati sono spesso sorprendenti: scopri servizi che non sapevi esistessero, dispositivi che comunicano dove non dovrebbero, e a volte veri compromessi in atto.
Il DNS e anche un vettore di attacco diretto: DNS hijacking, DNS cache poisoning, domain takeover. Implementare DNSSEC sulla tua infrastruttura protegge dall'alterazione delle risposte DNS. Monitorare le registrazioni di domini simili al tuo (typosquatting) previene attacchi di phishing. Il DNS e il livello di difesa con il miglior rapporto costo-beneficio che puoi implementare - e probabilmente il primo che dovresti aggiungere se non lo hai gia.
Se vuoi approfondire questo argomento o ti serve una consulenza specializzata, parliamone.
Parliamone →