Scopri di più sullo spoofing e sullavvelenamento della cache DNS

DNS sta per Domain Name System e aiuta un browser a trovare l'indirizzo IP di un sito Web in modo che possa caricarlo sul tuo computer. La cache DNS è un file sul tuo ISP o sul tuo computer che contiene un elenco di indirizzi IP di siti Web utilizzati di frequente. Questo articolo spiega cosa sono il DNS Cache Poisoning e il DNS Cache Spoofing.

• Cos'è un indirizzo IP?

Avvelenamento della cache DNS

Ogni volta che un utente inserisce l'URL di un sito web nel proprio browser, il browser contatterà un file locale (DNS Cache) per vedere se sono presenti voci simili all'indirizzo IP del sito web. I browser necessitano degli indirizzi IP dei siti Web per potersi connettere ad essi. Non è possibile utilizzare semplicemente l'URL per connettersi direttamente al sito web. Deve essere connesso a un indirizzo IP IPv4 o IPv6 appropriato . Se il record è presente, il browser Web lo utilizzerà; altrimenti andrà a un server DNS per ottenere l'indirizzo IP. Questa si chiama ricerca DNS.

Viene creata una cache DNS sul tuo computer o sul server DNS dell'ISP in modo da ridurre la quantità di tempo impiegato per interrogare il DNS di un URL. Fondamentalmente, le cache DNS sono piccoli file contenenti gli indirizzi IP di diversi siti Web comunemente utilizzati su computer o reti. Prima di contattare il server DNS, i computer della rete contattano il server locale per verificare se sono presenti voci nella cache DNS. Se lo è, il computer lo utilizzerà. Altrimenti il ​​server contatterà il server DNS e recupererà quell'indirizzo IP. Quindi aggiornerà la cache DNS locale con l'indirizzo IP più recente per il sito Web.

Ogni voce nella cache DNS è limitata nel tempo, a seconda del sistema operativo e della precisione della risoluzione DNS. Dopo la scadenza, il computer o il server contenente la cache DNS contatterà il server DNS e aggiornerà la voce in modo che le informazioni siano corrette.

Tuttavia, ci sono persone che vogliono avvelenare la cache DNS per scopi dannosi.

L'avvelenamento della cache significa modificare il valore effettivo dell'URL. Ad esempio, i criminali informatici possono creare un sito Web simile a xyz.com e importarne i record DNS nella cache DNS. Pertanto, quando digiti xyz.com nella barra degli indirizzi del browser, il secondo browser ottiene l'indirizzo IP del sito Web falso e ti porta lì, invece del sito Web reale. Questo si chiama Pharming. Utilizzando questo metodo, i criminali informatici possono rilevare le tue credenziali di accesso e molte altre informazioni come i dettagli della carta, il numero di previdenza sociale, il numero di telefono ecc. L'avvelenamento della cache DNS viene eseguito anche per introdurre malware nel computer o nella rete. Quando visiti un sito Web falso con una cache DNS infetta, i criminali possono fare quello che vogliono.

A volte, invece di una cache locale, i criminali possono anche creare server DNS falsi in modo che, quando interrogati, possano fornire indirizzi IP falsi . Si tratta di un livello elevato di avvelenamento DNS e corrompe la maggior parte delle cache DNS in una particolare regione, colpendo così più utenti.

Spoofing della cache DNS

Lo spoofing DNS è un tipo di attacco che prevede la falsificazione delle risposte del server DNS, al fine di presentare informazioni false. In un attacco di spoofing, un hacker tenta di indovinare che un client o un server DNS ha inviato una query DNS e sta aspettando una risposta DNS. Un attacco di spoofing riuscito inserisce una falsa risposta DNS nella cache del server DNS. Questo processo è chiamato avvelenamento della cache. Un server DNS non autorizzato non ha modo di verificare che i dati DNS siano autentici e risponderà dalla sua cache utilizzando informazioni contraffatte.

Lo spoofing della cache DNS sembra simile all'avvelenamento della cache DNS, ma c'è una leggera differenza. Lo spoofing della cache DNS è un insieme di metodi utilizzati per avvelenare una cache DNS. Potrebbe trattarsi di un ingresso forzato nel server della rete di computer per modificare e controllare la cache DNS. Ciò può configurare un server DNS falso per inviare risposte false quando richiesto. Esistono molti modi per avvelenare una cache DNS e uno dei modi più comuni è lo spoofing della cache DNS.

Misure per prevenire l'avvelenamento della cache DNS

Non esistono molti metodi in grado di prevenire l'avvelenamento della cache DNS. L'approccio migliore è potenziare il sistema di sicurezza, in modo che nessun utente malintenzionato possa compromettere la rete e incidere sulla cache DNS locale. Utilizzando un buon firewall è possibile rilevare attacchi di avvelenamento della cache DNS. Anche svuotare regolarmente la cache DNS è un'opzione che puoi prendere in considerazione.

Oltre ad ampliare i sistemi di sicurezza, gli amministratori dovrebbero aggiornare il proprio hardware e software per mantenere sicuri i sistemi esistenti. Il sistema operativo dovrebbe essere corretto dai bug con gli ultimi aggiornamenti e non dovrebbe avere collegamenti in uscita di terze parti. Il server deve essere l'unica interfaccia tra la rete e Internet e deve essere protetto da un buon firewall .

• Soluzione firewall per le piccole e medie imprese

I rapporti di fiducia dei server nella rete devono essere spinti più in alto, in modo che non richiedano nessun altro server per la risoluzione DNS . In questo modo, solo i server con certificati autentici possono comunicare con i server di rete durante la risoluzione dei server DNS.

L'intervallo di tempo per ciascuna voce nella cache DNS deve essere breve in modo che i record DNS vengano recuperati e aggiornati più frequentemente. Ciò potrebbe anche comportare intervalli più lunghi durante la connessione ai siti Web (solo occasionalmente), ma ridurrà il rischio di utilizzare una cache contaminata.

Il blocco della cache DNS deve essere configurato al 90% o superiore sul tuo sistema Windows. Il blocco della cache in Windows Server consente di controllare se le informazioni nella cache DNS vengono sovrascritte.

Utilizza il pool di socket DNS poiché consente a un server DNS di utilizzare in modo casuale la porta di origine durante l'invio di query DNS. Ciò fornisce una maggiore sicurezza contro gli attacchi di avvelenamento della cache (secondo TechNet).

Domain Name System Security Extensions (DNSSEC) - Domain Name System Security Extensions - è un insieme di estensioni per Windows Server che aggiungono ulteriore sicurezza al protocollo DNS.

Vedi altro:

• Ulteriori informazioni sull'attacco Man in the Middle: dirottamento della sessione
• Scopri di più sul dirottamento DNS e su come prevenirlo!
• Scopri di più sugli attacchi Man-in-the-Middle: ARP Cache Spoofing