Segurança DNS: A Camada de Infraestrutura Que a Maioria dos Websites Nunca Endurece

A superfície de ataque que ninguém observa

DNS é a primeira camada de cada interação web. Quando um utilizador escreve oneunegocio.com num browser, o browser faz uma query DNS para resolver o nome de domínio para um endereço IP antes de a ligação ao servidor do website sequer começar. Esta camada de resolução DNS é a infraestrutura de que tudo o resto depende, e raramente é endurecida.

O investimento de segurança típico para um website de negócio foca-se na camada do servidor web: certificados SSL, configuração de firewall, patches de segurança de aplicação. A camada DNS, que precede todas estas na pilha de rede, frequentemente recebe zero atenção de segurança. A conta do registrar de domínio tem uma password e sem autenticação multifator. Os registos DNS nunca foram auditados. Subdomínios criados para projetos depreciados permanecem no DNS a apontar para serviços que já não hospedam o conteúdo pretendido.

A documentação da Cloudflare sobre segurança DNS descreve o DNS hijacking como um dos vetores de ataque com a maior relação impacto-esforço: um atacante que compromete a conta do registrar de domínio pode redirecionar todo o tráfego do domínio do negócio (website, email, endpoints API) em minutos.

A conta do registrar: a credencial de maior risco que a maioria dos negócios não protege

As contas dos registrars de domínio são argumentavelmente as credenciais mais poderosas que um negócio detém, controlam o domínio, que controla o DNS, que controla o website e o email. Apesar disto, a maioria das contas de registrar são protegidas apenas com uma password e sem autenticação multifator.

A documentação da IANA sobre registo de domínio descreve a conta do registante como a raiz de confiança para toda a configuração DNS do domínio. Uma conta de registrar comprometida permite a um atacante:

• Mudar os nameservers para infraestrutura controlada pelo atacante
• Transferir o domínio para outro registrar, potencialmente perdendo-o permanentemente
• Modificar registos DNS individuais para redirecionar tráfego de website ou email
• Emitir certificados SSL para o domínio para permitir sites de phishing HTTPS

A mitigação: ativar MFA na conta do registrar, usar uma password única forte guardada num gestor de passwords, definir o domínio para estado bloqueado que previne transferências não autorizadas, e configurar alertas do registrar para quaisquer mudanças nos nameservers.

A auditoria de subdomínios que a maioria dos negócios nunca fez

O subdomain takeover é uma classe de vulnerabilidade que existe no gap entre a configuração DNS e o provisionamento de serviços. O cenário: um developer cria um subdomínio staging.oneunegocio.com a apontar para uma aplicação Heroku. O projeto termina, o dyno Heroku é apagado, mas o registo DNS CNAME permanece. Três meses depois, um atacante nota que o subdomínio retorna um 404 do Heroku, um erro específico indicando que o alvo CNAME existe mas a aplicação não. O atacante cria a sua própria aplicação Heroku, configura-a para responder a staging.oneunegocio.com, e pode agora servir conteúdo arbitrário a partir de um subdomínio de confiança do domínio do negócio.

A documentação da OWASP sobre subdomain takeover categoriza isto como um risco significativo de segurança de aplicação web porque o nome de domínio de confiança do negócio e o certificado SSL podem ser usados para conduzir ataques de phishing contra os seus próprios clientes.

A prevenção é higiene DNS: uma auditoria trimestral de todos os registos DNS, removendo registos CNAME que apontam para serviços desativados, e implementando um processo onde remover um serviço cloud inclui uma remoção correspondente de registo DNS.

Os registos DNS que afetam a entregabilidade de email e a pesquisabilidade

SPF, DKIM, DMARC, registos de autenticação de email. Registos SPF mal configurados com erros de sintaxe ou diretivas conflituantes causam falhas de autenticação de email. A documentação do Google sobre requisitos de autenticação de email especifica que os remetentes em volume devem ter estes configurados corretamente para alcançar as caixas de entrada Gmail.

CAA (Certification Authority Authorization), um registo DNS que especifica quais autoridades de certificação têm permissão para emitir certificados SSL para o domínio. Sem um registo CAA, qualquer uma das dezenas de CAs públicas pode emitir um certificado para o domínio.

O serviço de manutenção do x078 inclui auditorias DNS trimestrais para todos os domínios de clientes, revendo todos os registos ativos, identificando CNAMEs órfãos, verificando a configuração de autenticação de email, e verificando as definições de segurança da conta do registrar. O serviço de alojamento gerido inclui gestão DNS na infraestrutura Cloudflare, que fornece o benefício adicional da proteção DDoS da Cloudflare, suporte DNSSEC e análise DNS em tempo real.

Para negócios de SaaS e tecnologia e negócios de serviços B2B onde o domínio é tanto a identidade como a infraestrutura de entrega, a segurança DNS não é opcional. A visibilidade e acessibilidade que os padrões de performance do web.dev possibilitam tornam-se irrelevantes se o DNS hijacking redirecionar os teus visitantes para o servidor de outra pessoa antes de poderem carregar um único byte do teu conteúdo.

A camada que não podes ignorar

O DNS é a base de toda a infraestrutura web. Um ataque DNS bem-sucedido redireciona todo o tráfego do teu domínio sem alterar uma única linha de código no teu servidor. DNSSEC, CAA records e monitorização de DNS são as protecções mínimas que qualquer site de negócio deve ter implementadas.

Se nunca auditaste a configuração DNS do teu domínio, esse é um ponto cego de segurança que vale a pena verificar hoje.