Criado em 1983, o Domain Name System (DNS) pode ser comparado a um recurso de identidade semelhante a uma lista telefônica tradicional. Como nas páginas brancas de antigamente, o DNS lista o nome de cada domínio conectado juntamente com seu número correspondente – neste caso, seu endereço Internet Protocol (IP). O fato de o DNS ter permanecido viável por tanto tempo é um crédito à simples elegância de seu sistema dinâmico e distribuído e do banco de dados tree-structure.
Para entender a natureza de um ataque DNS, precisamos primeiro considerar a forma como o próprio sistema funciona. Os computadores utilizam endereços IP para identificar e encaminhar o tráfego entre os bilhões de sistemas conectados à Internet. Quando as pessoas navegam na web, porém, normalmente usam nomes de domínio para especificar os sites que desejam visitar, e não endereços IP. Afinal, é muito mais fácil lembrar de um site do que uma sequência de uma dúzia ou mais de números. O sistema DNS é o mecanismo que traduz cada nome de domínio totalmente qualificado (FQDN) em seu endereço IP correspondente em tempo real.
Uma interrupção deste sistema pode tornar virtualmente impossível para os usuários encontrar uma determinada empresa on-line. Dado que cada aplicação usa DNS, um ataque DNS pode ter um impacto especialmente amplo e causar muitos danos colaterais. Para os usuários, o resultado mais imediato é um temido alerta de “falha do DNS”: “servidor DNS não disponível” ou “endereço DNS do servidor não pôde ser encontrado”. Para uma empresa, essas conexões falhas significam tornar-se efetivamente invisíveis e inacessíveis on-line por clientes, potenciais clientes, ou qualquer outra pessoa.
Embora nem todo ataque DNS seja um ataque de negação de serviço, a maioria se configura desta maneira. Em sua forma mais básica, um ataque de negação de serviço inunda um sistema alvo com tráfego a fim de sobrecarregá-lo e fechá-lo. Isto resulta em uma falha no DNS e uma negação de serviço aos visitantes legítimos. Quando o ataque é lançado a partir de vários computadores ao mesmo tempo, como por exemplo através de um botnet, esta abordagem distribuída lhe dá o nome de negação de serviço distribuída, ou DDoS. Isto é muito mais eficaz, difícil de rastrear e difícil de defender do que um ataque de negação de serviço de fonte única, tornando-o o método de escolha para a maioria dos hackers.
Como as empresas podem se defender contra um ataque DDoS
A proteção DNS DDoS é um subconjunto da prevenção DDoS. A prevenção de DDoS tem que alcançar dois objetivos igualmente essenciais: assegurar que os serviços e a infraestrutura permaneçam em funcionamento e garantir sua disponibilidade para os usuários legítimos. Atingir ambos os objetivos podem ser mais complicados do que parece. Uma defesa DDoS excessivamente agressiva pode desencadear falsos positivos que resultam no bloqueio de usuários legítimos, enquanto um sistema mais frouxo pode permitir que ataques reais sejam perdidos através de falsos negativos.
Algumas defesas DDoS incorporam a modelagem do tráfego, uma abordagem que prende as cargas para proteger o serviço contra quedas. Esta estratégia está repleta de danos colaterais porque os filtros de tráfego descartam indiscriminadamente o que passa pela rede. Isto significa que os usuários legítimos são expulsos ao lado do tráfego malicioso.
Para evitar isto, um sistema de defesa DDoS deve ser capaz de distinguir entre usuários legítimos e ilegítimos. Isto pode ser feito com estratégias de detecção e mitigação multimodais, incluindo escalada de mitigação, reconhecimento de padrão de ataque de dia zero (ZAPR) e inteligência de ameaça DDoS.
Como os atacantes estão constantemente se tornando mais sofisticados e automatizados em suas táticas, os defensores também devem se tornar cada vez mais sofisticados e automatizados. Por exemplo, determinar quais mitigações devem ser aplicadas e quando devem ser aplicadas requer mudanças na plataforma de defesa. Se você puder definir apenas um nível de política, ela será simplesmente fraca ou forte, e exigirá intervenção manual para se ajustar ao comportamento dos atacantes.
Entretanto, se uma política adaptativa e multinível puder ser definida e executada, então a defesa aplicará automaticamente as políticas de mitigação apropriadas. Isto tanto minimizará os danos contra usuários reais como protegerá a disponibilidade do serviço. Outra estratégia de automação utilizaria a aprendizagem de máquinas para identificar o padrão de tráfego do agente atacante, criar um filtro e bloquear o tráfego DDoS sem nenhuma configuração prévia ou intervenção manual. Esta abordagem é conhecida como Reconhecimento do Padrão de Ataque de Dia Zero (ZAPR).
Finalmente, os sistemas de defesa podem usar a inteligência de reputação IP sobre armas DDoS para bloquear agentes DDoS usados repetidamente, conhecidos como armas DDoS. Juntas, essas estratégias de detecção e mitigação criam uma defesa profunda, capaz de proteger tanto os usuários quanto os serviços.
Como os ataques DDoS de todos os tipos continuam a aumentar, toda empresa corre o risco de um ataque DNS DDoS – e a perspectiva de se tornar invisível online para os clientes. Ao adotar uma abordagem ativa e multimodal para prevenção de DDoS DNS e mitigação de DDoS DNS, você pode proteger seus servidores DNS contra-ataques e manter sua empresa aberta para os negócios digitais.
*Por Ivan Marzariolli, country manager Brasil da A10 Networks.
