{"id":8376,"date":"2015-12-22T10:00:20","date_gmt":"2015-12-22T12:00:20","guid":{"rendered":"http:\/\/www.impacta.com.br\/blog\/?p=8376"},"modified":"2021-01-05T11:07:13","modified_gmt":"2021-01-05T14:07:13","slug":"vamos-falar-sobre-dns-entenda-o-que-e-e-seus-tipos","status":"publish","type":"post","link":"https:\/\/www.impacta.com.br\/blog\/vamos-falar-sobre-dns-entenda-o-que-e-e-seus-tipos\/","title":{"rendered":"Vamos falar sobre DNS: entenda o que \u00e9 e seus tipos!"},"content":{"rendered":"

O DNS (Domain Name System)<\/strong> \u00e9 um sistema de gerenciamento de nomes hier\u00e1rquico e distribu\u00eddo para computadores, servi\u00e7os ou qualquer recurso conectado \u00e0 Internet ou em uma rede privada. Ele se baseia em nomes hier\u00e1rquicos e permite a inscri\u00e7\u00e3o de v\u00e1rios dados digitados al\u00e9m do nome do host e seu endere\u00e7amento IP.<\/p>\n

Em virtude do banco de dados<\/a> de DNS ser distribu\u00eddo, seu tamanho \u00e9 ilimitado e o desempenho n\u00e3o degrada tanto quando se adiciona mais servidores \u00e0 sua estrutura. Os servidores DNS padr\u00e3o utilizam a porta 53.<\/p>\n

O Windows NT 4.0<\/strong> recebeu a implementa\u00e7\u00e3o relacionada ao DNS, tornando-se padr\u00e3o no Windows 2000. Nos dias atuais \u00e9 impensado configurar uma rede sem a presen\u00e7a dos servidores de DNS, tanto que ao instalarmos o Active Director<\/strong>y fica como pr\u00e9-requisito a presen\u00e7a do DNS.<\/p>\n

O papel do DNS \u00e9 o de converter nomes para endere\u00e7amentos IP, sejam eles de categoria 4 (IPV4) ou de categoria 6 (IPV6). Em uma infraestrutura de redes LAN, \u00e9 aconselh\u00e1vel trabalhar sempre com pelo menos dois servidores de DNS, sendo um prim\u00e1rio e outro secund\u00e1rio. Este modelo pode evoluir brutalmente dependendo da necessidade e tamanho da infraestrutura e parque de esta\u00e7\u00f5es de trabalho.<\/p>\n

As plataformas intituladas Open (cito aqui o Debian Linux<\/a>), possuem servidores de DNS chamados de BIND. O Servi\u00e7o de BIND gerencia os nomes e os relaciona com seus respectivos endere\u00e7os. Recomenda-se cuidado ao implementar servidores de DNS em estruturas muito grandes que apresentem tantos recursos de WAN e LAN, pois fatores ligados a seguran\u00e7a podem influenciar diretamente a montagem do ambiente. \u00c9 importante direcionar esfor\u00e7os para atuar com a m\u00e1xima seguran\u00e7a poss\u00edvel, tanto dentro da LAN como pela DMZ, por exemplo.<\/p>\n

Em um ambiente onde exista servidores de mensageira (e-mail), \u00e9 necess\u00e1rio ainda a preocupa\u00e7\u00e3o com o DNS Reverso. Seu papel \u00e9 o de ofertar algo contr\u00e1rio ao do DNS padr\u00e3o, pois em vez de conectar um nome a um endere\u00e7amento IP, ele conecta um endere\u00e7amento IP a um nome de dom\u00ednio. Tamb\u00e9m \u00e9 muito utilizado para configura\u00e7\u00f5es chamadas rela\u00e7\u00f5es de confian\u00e7a entre dom\u00ednios (Trusts).<\/p>\n

Tipos de registros DNS<\/strong><\/span><\/h2>\n

Os servidores de DNS armazenam informa\u00e7\u00f5es que s\u00e3o utilizadas basicamente para direcionar o trafego e requisi\u00e7\u00f5es de aplica\u00e7\u00f5es e servi\u00e7os. Cada registro dentro do banco de dados de um servidor de DNS possui seu papel espec\u00edfico e imut\u00e1vel, dos quais cito abaixo os principais.<\/p>\n

Registros A:<\/strong> basicamente, associam um ou mais endere\u00e7os IP a um ou mais dom\u00ednios. Pode-se utilizar AAAA para endere\u00e7os IPv6;<\/p>\n

Registros CNAME (Canonical Name):<\/strong> servem para criar redirecionamentos para dom\u00ednios ou subdom\u00ednios. \u00c9 este par\u00e2metro que dever ser utilizado, por exemplo, para criar um endere\u00e7o do tipo blog ou e-mail em seu site. Esta entrada \u00e9 tamb\u00e9m conhecida como apelido, pois pode adicionar um segundo ou terceiro nome a um servidor ou equipamento host em uma rede;<\/p>\n

Registros MX (Mail Exchanger):<\/strong> s\u00e3o os par\u00e2metros que devem ser configurados para contas de e-mail no dom\u00ednio. S\u00e3o utilizados a priori por empresas que possuam o Exchange instalado e configurado. Dependendo do tamanho da infraestrutura de redes<\/a>, \u00e9 poss\u00edvel encontrar diversas entradas MX, trabalhando tanto com servidores prim\u00e1rios quanto servidores secund\u00e1rios;<\/p>\n

Registros NS (Name Server):<\/strong> indicam quais servidores atuam como servi\u00e7o de DNS dentre de uma rede ou de um site.<\/p>\n

Registros PTR (Pointer):<\/strong> informam quais dom\u00ednios est\u00e3o associados a determinados IPs, quase se fosse o reverso dos registros A.<\/p>\n

Registros SRV (abrevia\u00e7\u00e3o de Service):<\/strong> indicam a localiza\u00e7\u00e3o de determinados servi\u00e7os dentro do dom\u00ednio;<\/p>\n

Registros SOA (Start of Authority):<\/strong> indicam o in\u00edcio de uma zona, isto \u00e9, de um conjunto de registros localizado dentro de um espa\u00e7o de nomes de DNS. Cada zona deve ter um registro SOA;<\/p>\n

Registros TXT (abrevia\u00e7\u00e3o de Text):<\/strong> servem para a inser\u00e7\u00e3o de coment\u00e1rios, por\u00e9m tamb\u00e9m servem para valida\u00e7\u00e3o de servidores de disparo de e-mail pela linha de SPF, por exemplo. Quando disparamos e-mails a uma empresa, \u00e9 verificado a linha de SPF com dados relacionados a quem disparou o e-mail. Se os dados baterem a mensagem \u00e9 entregue a seu destinat\u00e1rio, se n\u00e3o ela \u00e9 descartada ou encaminhada ao lixo eletr\u00f4nico.<\/p>\n

\"O<\/a><\/h2>\n

DNS e seu cache<\/strong><\/span><\/h2>\n

O grande segredo relacionado ao DNS, est\u00e1 em seu cache dentro das esta\u00e7\u00f5es de trabalho que efetuam a leitura de um respectivo endere\u00e7o atrav\u00e9s de seu nome. Isso significa que n\u00e3o \u00e9 necess\u00e1rio refazer toda a pesquisa de endere\u00e7amento sempre que digitamos algo na barra do navegador. O cache permite acesso de forma r\u00e1pida a um conte\u00fado pela web ou da rede interna, gerando uma melhor utiliza\u00e7\u00e3o da banda real da rede.<\/p>\n

Existem ataques concentrados relacionados ao cache como a polui\u00e7\u00e3o de cache. A polui\u00e7\u00e3o da cache do DNS pode ocorrer caso seja detectado um ataque de fraude de identidade no sistema de nomes de dom\u00ednio (DNS). O ataque que visa a fraude de identidade descreve o envio de dados n\u00e3o seguros como resposta a uma consulta de DNS e geralmente \u00e9 utilizado para redirecionar consultas para um servidor de DNS n\u00e3o controlado e pode ser de natureza maliciosa. Este ataque pode ser evitado com a assimila\u00e7\u00e3o do DNSSEC.<\/p>\n

DNSSEC e sua estrutura funcional<\/strong><\/span><\/h2>\n

O DNSSEC, tamb\u00e9m conhecido por Domain Name System Security Extensions, nada mais \u00e9 que um padr\u00e3o internacional que estende diretamente a tecnologia Domain Name System (DNS) para um n\u00edvel superior de seguran\u00e7a.<\/p>\n

O DNSSEC adiciona ao sistema de resolu\u00e7\u00e3o de nomes t\u00e9cnicas e algoritmos que o deixam mais seguro, reduzindo o risco de manipula\u00e7\u00e3o de dados e dom\u00ednios forjados. O DNSSEC possui um mecanismo baseado pela tecnologia de criptografia que emprega assinaturas digitais em suas requisi\u00e7\u00f5es atrav\u00e9s de chaves assim\u00e9tricas.<\/p>\n

Na pr\u00e1tica significa que algu\u00e9m com um dom\u00ednio compat\u00edvel com DNSSEC possui um par de chaves eletr\u00f4nicas que consistem em uma chave privada e uma chave p\u00fablica, permitindo que somente haja resposta \u00e0s solicita\u00e7\u00f5es pertinentes. Em raz\u00e3o do mantenedor das chaves utilizar a chave privada para assinar digitalmente sua pr\u00f3pria zona no DNS, \u00e9 poss\u00edvel que todas as esta\u00e7\u00f5es clientes da estrutura com acesso a chave p\u00fablica desta zona verifique que os dados transferidos desta zona est\u00e3o intactos. \u00c9 altamente recomend\u00e1vel que seja assimilado o DNSSEC nas empresas de grande e m\u00e9dio porte para evitar o vazamento de informa\u00e7\u00f5es e o pr\u00f3prio ataque de polui\u00e7\u00e3o de DNS.<\/p>\n

DNSSEC soluciona alguns problemas encontrados na atual tecnologia DNS. Falsas informa\u00e7\u00f5es DNS criam oportunidades para roubo de informa\u00e7\u00f5es de terceiros ou altera\u00e7\u00e3o de dados em diversos tipos de transa\u00e7\u00f5es, como compras eletr\u00f4nicas. Na tecnologia DNSSEC, um ataque DNS com informa\u00e7\u00e3o forjada \u00e9 extremamente dif\u00edcil de ser detectado e n\u00e3o pratica imposs\u00edvel de ser prevenido. O objetivo da extens\u00e3o DNSSEC \u00e9 assegurar o conte\u00fado do DNS e impedir estes ataques validando os dados e garantindo a origem das informa\u00e7\u00f5es.<\/p>\n

Quando uma esta\u00e7\u00e3o de trabalho requisita um endere\u00e7o de um nome ao servidor de DNS, a autenticidade e integridade s\u00e3o verificadas e providas pela assinatura dos Conjuntos de Registros de Recursos (Resource Records Sets – RRset) com uma chave privada. As zonas delegadas (filhas) assinam seus pr\u00f3prios RRsets com sua chave privada e a autenticidade da chave \u00e9 verificada pela assinatura na zona pai do Recurso DS (Record DS) (hash da chave p\u00fablica da zona filha).<\/p>\n

A chave p\u00fablica \u00e9 usada para verificar RRSIGs dos RRsets e a autenticidade da n\u00e3o exist\u00eancia de um nome ou tipo provida por uma cadeia de registros que aponta para o pr\u00f3ximo em uma sequ\u00eancia can\u00f4nica pode ser validada.<\/p>\n

Polui\u00e7\u00e3o de Cache em Redes Orientadas a Conte\u00fado Sem-Fio<\/strong><\/span><\/h2>\n

As Redes Orientadas a Conte\u00fado<\/strong> (ROCs) s\u00e3o redes de caches que armazenam conte\u00fado com a finalidade de aumentar a disponibilidade e atender os usu\u00e1rios com maior efici\u00eancia. Qualquer n\u00f3 pode armazenar conte\u00fados, assim, o usu\u00e1rio pode se beneficiar da distribui\u00e7\u00e3o dos conte\u00fados e obt\u00ea-los de n\u00f3s mais pr\u00f3ximos, sendo desnecess\u00e1rio ir at\u00e9 a fonte. Nas ROCs os conte\u00fados s\u00e3o requisitados em fun\u00e7\u00e3o do nome, portanto esta proposta traz uma mudan\u00e7a de paradigmas.<\/p>\n

Por outro lado, os dispositivos m\u00f3veis est\u00e3o cada vez mais presentes no dia-a-dia dos usu\u00e1rios da Internet. Entretanto, esta arquitetura atual tem a comunica\u00e7\u00e3o baseada no IP, que associa localiza\u00e7\u00e3o e identifica\u00e7\u00e3o, o que torna dif\u00edcil lidar com mudan\u00e7as geogr\u00e1ficas.<\/p>\n

Neste contexto, a proposta de uma nova arquitetura que tenha suporte nativo para mobilidade torna-se interessante.<\/p>\n

Nas Redes Orientadas a Conte\u00fado Sem fio baseadas na arquitetura Named Data-Centric Network (NDN) pode ser empregada uma pol\u00edtica de cache proativo. Assim, um n\u00f3 pode armazenar um conte\u00fado mesmo que n\u00e3o tenha um interesse pendente para esse conte\u00fado. O objetivo \u00e9 aproveitar a natureza de difus\u00e3o do meio sem fio para aumentar a disponibilidade dos conte\u00fados.<\/p>\n

Um problema dessa abordagem, entretanto, \u00e9 que a pol\u00edtica de cache proativo pode potencializar ataques de polui\u00e7\u00e3o de cache. Este trabalho, portanto, avalia o impacto desses ataques em redes NDN sem fio atrav\u00e9s de simula\u00e7\u00f5es.<\/p>\n

Compara-se o desempenho da rede considerando o uso das pol\u00edticas de cache proativo e n\u00e3o proativo, em cen\u00e1rios com e sem mobilidade, em condi\u00e7\u00f5es normais de opera\u00e7\u00e3o e sob ataque. O desempenho \u00e9 avaliado em rela\u00e7\u00e3o \u00e0 taxa de entrega, atraso, \u00e0 ocupa\u00e7\u00e3o maliciosa do cache dos n\u00f3s, taxa de hit no cache e n\u00famero m\u00e9dio de saltos atravessados pelo conte\u00fado.<\/p>\n

O cache proativo potencializou o ataque de polui\u00e7\u00e3o dos caches no sentido de aumentar a ocupa\u00e7\u00e3o maliciosa. Em contrapartida, melhorou a efici\u00eancia da rede. Os consumidores leg\u00edtimos da rede foram atendidos em menor tempo e com maior taxa de entrega.<\/p>\n

Para evitar acesso de dispositivos m\u00f3veis a rede interna das empresas, recomenda-se a cria\u00e7\u00e3o de uma rede Guest. As redes Guest s\u00e3o pontos de conex\u00e3o WIFI com internet que ficam isoladas da rede principal, seja por uma simples segmenta\u00e7\u00e3o l\u00f3gica de endere\u00e7os, ou at\u00e9 memo por equipamentos espec\u00edficos como os fabricados pela Dell (SonicWall). Existem diversos fabricantes que podem atestar a funcionalidade e qualidade das redes Guest.<\/p>\n

Ataques mais comuns relacionados ao DNS<\/strong><\/span><\/h2>\n

Ataque Windows fora de banda (WinNuke)<\/strong>\u00a0– um invasor lan\u00e7a um ataque de nega\u00e7\u00e3o de servi\u00e7o (DoS) fora de banda contra um host protegido por um firewall (como o Forefront TMG da Microsoft, por exemplo). Se o ataque obtiver \u00eaxito, ele causar\u00e1 falha no computador ou perda de conectividade de rede em computadores vulner\u00e1veis.<\/p>\n

Ataque por terra<\/strong>\u00a0– um invasor envia um pacote SYN TCP com um endere\u00e7o IP de origem falsificado que corresponde ao endere\u00e7o IP do computador de destino e com um n\u00famero de porta permitido pelas regras de diretiva de um Firewall, para que o computador de destino tente estabelecer uma conex\u00e3o TCP com ele mesmo. Se o ataque obtiver \u00eaxito, algumas implementa\u00e7\u00f5es de TCP poder\u00e3o entrar em loop, o que causar\u00e1 falha no computador.<\/p>\n

Ping da morte<\/strong>\u00a0– um invasor anexa uma grande quantidade de informa\u00e7\u00f5es, que excedem o tamanho de pacote IP m\u00e1ximo, a uma solicita\u00e7\u00e3o echo (ping) do protocolo ICMP. Se o ataque obtiver \u00eaxito, um buffer kernel estoura, causando falha no computador.<\/p>\n

Verifica\u00e7\u00e3o parcial de IP<\/strong>\u00a0– um invasor tenta repetidamente conectar-se a um computador de destino, mas n\u00e3o envia pacotes ACK em resposta aos pacotes SYN\/ACK. Durante uma conex\u00e3o TCP normal, a origem inicia a conex\u00e3o enviando um pacote SYN para uma porta no sistema de destino. Se um servi\u00e7o estiver escutando essa porta, o servi\u00e7o responde com um pacote SYN\/ACK. Em seguida, o cliente que iniciou a conex\u00e3o responde com um pacote ACK e a conex\u00e3o for estabelecida. Se o host de destino n\u00e3o estiver esperando por uma conex\u00e3o na porta especificada, ele responde com um pacote RST. A maioria dos logs de sistema n\u00e3o registram conex\u00f5es conclu\u00eddas at\u00e9 que o pacote ACK final tenha sido recebido da origem. Enviar outros tipos de pacotes que n\u00e3o sigam esta sequ\u00eancia pode extrair respostas \u00fateis do host de destino, sem causar o registro de uma conex\u00e3o.<\/p>\n

Bomba UDP<\/strong>\u00a0– um invasor tenta enviar um datagrama do protocolo UDP com valores ilegais em alguns campos, o que pode causar falha em alguns sistemas operacionais mais antigos quando o datagrama \u00e9 recebido. Por padr\u00e3o, nenhum alerta \u00e9 configurado para esse tipo de ataque.<\/p>\n

Verifica\u00e7\u00e3o de porta<\/strong>\u00a0– um invasor tenta contar os servi\u00e7os que est\u00e3o sendo executados em um computador, investigando cada porta em busca de uma resposta. \u00c9 poss\u00edvel especificar o n\u00famero de portas que podem ser verificadas antes de um evento ser gerado.<\/p>\n

Tais ataques podem ser devidamente identificados durante a monitora\u00e7\u00e3o do ambiente, portanto recomendo o uso de equipamentos ou softwares que permitam tornar o ambiente reiliente.<\/p>\n

Alguns cuidados com o servidor de DNS<\/strong><\/span><\/h2>\n

Excesso de nomes de host DNS<\/strong>\u00a0– quando uma resposta DNS a um nome de host exceder 255 bytes, os aplicativos que n\u00e3o verificam o comprimento do nome do host poder\u00e3o exceder os buffers internos ao copiar o nome desse host, permitindo que um invasor remoto execute comandos arbitr\u00e1rios em um computador de destino.<\/p>\n

Excesso no tamanho do DNS<\/strong>\u00a0– quando uma resposta DNS a um endere\u00e7o IP exceder 4 bytes, alguns aplicativos que est\u00e3o executando pesquisas DNS exceder\u00e3o os buffers internos, permitindo que um invasor remoto execute comandos arbitr\u00e1rios em um computador de destino. A ferramenta de monitora\u00e7\u00e3o escolhida para trabalhar como o servidor de DNS verificr se o valor de RDLength n\u00e3o excede o tamanho do restante da resposta DNS. Este \u00e9 um ponto chave que deve ser levado como boa pr\u00e1tica.<\/p>\n

Transfer\u00eancia de zona DNS<\/strong>\u00a0– um sistema cliente usa um aplicativo cliente DNS para transferir zonas de um servidor DNS interno.<\/p>\n

A ferramenta de monitora\u00e7\u00e3o de DNS precisa ser configurada de forma a validar quando pacotes incorretos s\u00e3o detectados e descartados gerado um evento que dispara um alerta de Intrus\u00e3o ao servidor de DNS. \u00c9 poss\u00edvel configurar os alertas para notificarem que um ataque foi detectado requerendo uma a\u00e7\u00e3o humana ou mec\u00e2nica.<\/p>\n

Algumas empresas (incluindo a Microsoft), recomendam que caso o evento de Intrus\u00e3o DNS seja gerado por cerca de cinco vezes durante um segundo para a transfer\u00eancia de zonas DNS, um alerta de Intrus\u00e3o de Transfer\u00eancia de Zona DNS deve ser disparado. Por padr\u00e3o, depois que os alertas predefinidos aplic\u00e1veis forem disparados, n\u00e3o ser\u00e3o disparados novamente at\u00e9 que sejam manualmente redefinidos.<\/p>\n

Esse conte\u00fado foi postado originalmente no\u00a0blog da\u00a0HTBRAZ Connect<\/a>,\u00a0em 10 de dezembro\u00a0de 2015, e pode ser conferido\u00a0aqui<\/a>.<\/em><\/p>\n

E a\u00ed, ficou alguma d\u00favida? Deixe seu coment\u00e1rio.<\/p>\n

Que tal se especializar em ambientes de redes?<\/span><\/h2>\n
A Impacta possui os melhores os cursos e certifica\u00e7\u00f5es em redes.<\/a> Conhe\u00e7a as op\u00e7\u00f5es e torne-se um profissional ainda mais qualificado para o mercado de trabalho.<\/div>\n
<\/i>Love<\/span>0<\/span><\/span><\/a> <\/i> <\/i>