Il fast fluxing DNS è un modo per scambiare rapidamente gli indirizzi IP associati a un dominio, in modo che i domini dannosi utilizzati per attacchi di phishing e altre attività criminali siano più difficili da bloccare.
Dopo aver letto questo articolo sarai in grado di:
Argomenti correlati
DNS Cache Poisoning
DNS-over-TLS
Sicurezza DNS: quali attacchi la minano
DNS Round-Robin
Record DNS, cos’è e come funziona
Abbonati a theNET, il riepilogo mensile di Cloudflare sulle tematiche più discusse in Internet.
Copia link dell'articolo
Il fast fluxing del DNS è una tecnica che prevede l'associazione di più indirizzi IP a un singolo nome di dominio e la rapida modifica di tali indirizzi IP. A volte vengono utilizzati centinaia o persino migliaia di indirizzi IP. Gli aggressori sfruttano il fast fluxing del DNS per mantenere attive e funzionanti le loro proprietà Web, nascondere la vera origine delle loro attività dannose e impedire ai team di sicurezza di bloccare il loro indirizzo IP. Questa tecnica è comunemente utilizzata dalle botnet.
Gli aggressori hanno bisogno che i loro siti Web restino attivi per poter sferrare attacchi di phishing, ospitare malware, vendere informazioni di carte di credito rubate e compiere altre attività illegali. Grazie al fast fluxing del DNS, i domini dannosi hanno più tempo di attività e sono più difficili da bloccare, consentendo ai criminali informatici di sferrare più attacchi. In sostanza, il fast fluxing del DNS trasforma i domini dannosi in un bersaglio mobile.
Immagina un rapinatore di banche che tenta la fuga: se la polizia sa che macchina sta guidando, può stare in allerta se ci sono auto con quel numero di targa e fermarlo prima che lasci la città. Ora immagina che il rapinatore abbia un baule pieno di targhe, esce e cambia targa ogni due chilometri. Per la polizia diventa molto più difficile identificare l'auto del rapinatore. Il fast fluxing del DNS ha un effetto simile: con l'indirizzo IP di un sito Web che cambia costantemente, è molto più difficile identificare e bloccare il sito.
Gli autori di un attacco assoceranno più indirizzi IP a un nome di dominio modificando rapidamente i record DNS associati a quel nome di dominio. Un indirizzo IP verrà registrato e poi annullato e sostituito con un nuovo indirizzo IP ogni pochi minuti o secondi. Gli aggressori sono in grado di farlo sfruttando una tecnica di bilanciamento del carico chiamata DNS round robin e impostando un time to live (TTL) molto breve per ciascun indirizzo IP. Spesso alcuni o tutti gli indirizzi IP utilizzati appartengono a host Web compromessi dagli aggressori. Le macchine a questi indirizzi IP fungeranno da proxy per il server di origine dell'aggressore.
Il DNS round robin è un modo per associare più server Web ridondanti, ciascuno con il proprio indirizzo IP, a un dominio. Quando il nameserver autoritativo per quel dominio riceve una query, assegna ogni volta un indirizzo IP diverso e, di conseguenza, nessun server web viene sovraccaricato dal traffico (in teoria). Sebbene il bilanciamento del carico sia l'uso legittimo e previsto del DNS round robin, gli aggressori possono sfruttare questa funzionalità per mascherare le loro attività dannose.
Gli autori di attacchi che utilizzano il fast fluxing imposteranno anche un TTL molto breve per questi indirizzi IP, a volte di appena 60 secondi. Una volta scaduto il TTL, tale indirizzo IP non sarà più associato a quel nome di dominio.
Il double fast fluxing aggiunge un altro livello di fluxing DNS, rendendo ancora più difficile bloccare un dominio e rintracciare l'origine di attività dannose. Con il double fast fluxing, anche l'indirizzo IP del nameserver autoritativo viene modificato rapidamente. (Un modo più tecnico per dirlo è che sia i record DNS A per il dominio sia i record DNS NS per la zona vengono modificati costantemente.)
Sarebbe come se il rapinatore di banche descritto sopra non solo cambiasse continuamente la targa, ma cambiasse anche continuamente auto.
Il modo più efficace per fermare il fast fluxing DNS è semplicemente eliminare il nome di dominio. Per una serie di ragioni, i registrar di nomi di dominio non sempre sono disposti o in grado di farlo.
Gli amministratori di rete possono anche richiedere agli utenti all'interno della propria rete di utilizzare i server DNS da loro controllati e di escludere, o scartare, le query relative a domini dannosi. In questo modo, i domini dannosi non vengono risolti e gli utenti non sono in grado di accedervi. Questa tecnica è chiamata filtro DNS.