Cuidado con el DNS Tunneling, el ciberataque ingenioso.

Antes de hablar del DNS Tunneling, conviene recordar que el Domain Name System (DNS) es el protocolo que traduce los Uniform Resource Locator (URL) (direcciones IP comprensibles para la máquina, como 199.167.52.137) en nombres comprensibles para las personas.

El DNS es un protocolo fundamental para internet y a menudo se describe como la «agenda de internet», porque asigna los nombres de dominio a las direcciones IP.

La amplia difusión del DNS y los limitados controles de seguridad asociados permiten con frecuencia comunicarse e intercambiar datos más allá de los fines originales del protocolo. Por este motivo, los ciberdelincuentes han identificado este punto débil del sistema para desarrollar actividades maliciosas.

Además, dado que el DNS no está concebido como un medio para transportar datos, muchas organizaciones no monitorizan el tráfico DNS para detectar posibles actividades dañinas y, por ello, diversos tipos de ataques utilizan esta plataforma contra las redes empresariales. El DNS Tunneling es uno de estos ataques.

Cómo funciona el DNS Tunneling

Los ataques de DNS Tunneling aprovechan el protocolo DNS para introducir malware y otros datos mediante un modelo cliente-servidor.

1. El atacante registra un dominio, como badsite.com. En consecuencia, el DNS contacta con ese servidor registrado, en el que está instalado un programa de malware para el tunneling.
2. El atacante infecta un ordenador, que a menudo se encuentra detrás del firewall de una empresa. Como las solicitudes DNS siempre están permitidas dentro y fuera del firewall, el ordenador infectado puede enviar una consulta al DNS. El DNS es un servidor que reenvía las solicitudes de direcciones IP a los servidores raíz y a los servidores de dominio de primer nivel.
3. El DNS encamina la consulta al servidor de comando y control del atacante, en el que está instalado el programa de tunneling. A continuación se establece una conexión entre la víctima y el atacante a través del resolutor DNS. Este túnel puede utilizarse para exfiltrar datos o con otros fines dañinos. Dado que no existe una conexión directa entre el atacante y la víctima, resulta más difícil rastrear el ordenador del atacante.

El DNS Tunneling existe desde hace casi 20 años. Tanto el malware Morto como Feederbot se han utilizado para el DNS Tunneling. Entre los ataques de DNS Tunneling más recientes se encuentran los del grupo de amenazas DarkHydrus, que en 2018 tuvo como objetivo organismos gubernamentales de Oriente Medio, y OilRig, que opera desde 2016 y sigue activo.

Prevenir el DNS Tunneling

El DNS es una herramienta muy potente que se utiliza en todas partes y que permite a las aplicaciones y a los sistemas buscar recursos y servicios con los que interactuar.

El DNS proporciona una base de comunicación que permite que funcionen protocolos más avanzados y potentes, pero puede pasarse por alto desde el punto de vista de la seguridad, sobre todo si se tiene en cuenta la cantidad de malware que se distribuye a través de los protocolos de correo electrónico o que se descarga de la web mediante HTTP.
Por estas razones, el DNS es la opción perfecta para los adversarios que buscan un protocolo siempre abierto, descuidado y subestimado que explotar para las comunicaciones desde y hacia hosts comprometidos.
Las organizaciones pueden defenderse del DNS Tunneling de varias maneras, utilizando tanto la plataforma de seguridad de red de Leonardo Networks como tecnologías de código abierto. La defensa puede adoptar diversas formas, entre ellas, sin carácter limitativo, las siguientes:

• Bloquear nombres de dominio (o direcciones IP o regiones geográficas) en función de su reputación conocida o del peligro percibido;
• Reglas para consultas DNS «extrañas»;
• Reglas sobre la longitud, el tipo o el tamaño de las consultas DNS entrantes y salientes;
• Reforzar (hardening) los sistemas operativos cliente y comprender las capacidades de resolución de nombres, así como su orden de búsqueda específico;
• Análisis del comportamiento de los usuarios o de los sistemas que detecten automáticamente anomalías, como el acceso a nuevos dominios, especialmente cuando el método de acceso y la frecuencia son anómalos;

Las mejores prácticas para la seguridad DNS

• Formar y concienciar al personal de seguridad
  Implemente un programa de formación y concienciación en seguridad para capacitar al personal en la identificación de amenazas dañinas. Anímelo a tomar precauciones al seguir enlaces para evitar instalar malware. La formación sobre phishing puede ayudarle a reconocer, evitar y notificar ataques por correo electrónico.
• Implementar un programa de inteligencia de amenazas
  Comprenda el panorama de amenazas y active un programa de inteligencia de amenazas para conocer los distintos tipos de amenazas y las técnicas que utilizan hoy en día los atacantes. Con esta información, es posible asegurarse de contar con la tecnología adecuada para mantener segura la red.
• Aprender qué pueden decirle los datos DNS
  No se limite a observar el tráfico DNS. Recopilar los registros (logs) de datos DNS tiene poco valor si no se entiende lo que se está observando. Al comprender los datos, podrá prevenir con éxito amenazas nunca vistas a nivel DNS en su organización.
• No retrasar la gestión de un resolutor DNS
  Si un servidor DNS se ve comprometido, puede proporcionarle respuestas falsas para dirigir su tráfico hacia otros sistemas comprometidos o permitir un ataque man-in-the-middle.
• Planificar el riesgo del trabajo remoto
  Desarrolle una estrategia para la plantilla remota, ya que puede poner en riesgo los datos sensibles de la empresa. Advierta de que no se utilicen redes Wi-Fi no seguras, gratuitas o públicas, ya que los adversarios pueden interponerse fácilmente entre los empleados y el punto de conexión. Integre la autenticación multifactor y prepárese ante el riesgo de dispositivos perdidos o robados.
• Abordar la seguridad de la red de forma holística
  Adopte un enfoque holístico de la seguridad de la red y asegúrese de disponer de las capacidades adecuadas para hacer frente a los distintos vectores de amenaza de la red, fácilmente integrables en todo el stack de seguridad. Al evaluar soluciones de proveedores, es importante hacer comparaciones directas en pruebas de concepto. Cada entorno es diferente y aún no se han establecido pruebas independientes y neutrales para la seguridad a nivel DNS.
• Automatizar las respuestas y no solo las alertas
  Para proteger con éxito su organización, es necesario responder automáticamente y no limitarse a recibir alertas. La velocidad con la que se ejecutan los ataques hace que las alertas y las señales resulten ineficaces. Cuando se identifica una amenaza, puede que ya sea demasiado tarde. Su equipo de seguridad debe ser capaz de determinar automáticamente las amenazas y poner en cuarentena los sistemas potencialmente infectados antes de que se cause más daño. Para garantizar que su organización siga las mejores prácticas y optimice el servicio de seguridad DNS de Leonardo Networks, es posible realizar una evaluación de las mejores prácticas.

Fuente paloaltonetworks.com