Nueva Guía de Implementación de DNS
¿Por qué es tan importante?
Juan de la Vara, Senior Major Account Executive, Infoblox
El Instituto Nacional de Estándares y Tecnología (NIST) ha publicado recientemente una nueva versión de la Guía de Implementación de DNS Seguro (NIST SP 800-81r3), que reúne las mejores y más recientes prácticas de seguridad DNS, alineadas con el panorama actual de ciberamenazas. Uno de los elementos más destacados de esta nueva versión de la guía es el papel que asigna al DNS dentro de la estrategia global de ciberseguridad de cualquier organización, al considerar la infraestructura de nombres de dominio en sus dos aspectos, como superficie de ataque de alto valor para los agentes maliciosos por un lado, y un punto clave para la implementación de las políticas de seguridad corporativa por otro. Esta guía hace especial hincapié en la protección de la infraestructura DNS, para garantizar la integridad de su configuración y la confidencialidad de las consultas DNS, así como en la implementación de un enfoque Protective DNS.
La nueva versión de la Guia incluye cambios importantes con respecto a la versión anterior, lo cual la convierte en un documento indispensable para administradores de infraestructuras de red. Va más allá de la mera protección de DNS, al dar indicaciones prácticas que permitan utilizar la infraestructura DNS como herramienta clave de seguridad, especialmente en entornos Zero Trust. En este contexto, la Guia aborda tres aspectos fundamentales:
• Protective DNS: un enfoque Protective DNS (PDNS) se basa en utilizar DNS como punto de evaluación y aplicación de políticas dentro de una red, al integrar inteligencia sobre amenazas como parte de la infraestructura DNS, así como análisis del tráfico para determinar si cada consulta DNS debe resolverse tal cual o si se requieren acciones diferentes. Dado que una consulta DNS es el punto de inicio de casi todas las comunicaciones de red, PDNS es el punto ideal para interceptar comunicaciones potencialmente maliciosas antes incluso de que la amenaza se materialice.
• DNS encriptado: En la actualidad hay ya varios estándares para encriptado de DNS (DNS sobre TLS (DoT), DNS sobre HTTPS (DoH) y DNS sobre QUIC (DoQ)), cada uno de ellos centrado en encriptado de comunicaciones DNS entre dispositivos cliente y servidores DNS. La encriptación no solo ayuda a mantener la privacidad de estas comunicaciones, sino que también las protegen frente a posibles manipulaciones.
• Higiene del DNS: El concepto de higiene DNS subraya la importancia de mantener los datos DNS de una organización lo más ordenados posible, ya que de lo contrario pueden generarse brechas de seguridad importantes. Es importante gestionar el ciclo de vida de los datos DNS, y garantizar que todos los registros DNS se desactiven una vez que los sistemas, dispositivos y servicios involucrados dejan de estar activos. Esto evita determinados riesgos de amenazas vinculados a DNS (lame delegation, CNAMEs colgantes y lookalike domains).
Relación con NIS2 y otras normativas
La Guía de Implementación de DNS Seguro está estrechamente vinculada a NIS2 y otras normativas. La Directiva NIS2 de la Unión Europea hace referencia explícita a la norma NIST SP 800-81, en la que se basa la Guía, lo que implica, entre otras cosas, que las más de 180.000 organizaciones que se encuentran dentro del ámbito de aplicación de NIS2 deberán abordar la gestión segura de DNS como parte de las estrategias de ciberseguridad y resiliencia, y que los reguladores nacionales de cada país están obligados a adoptar y aplicar estas buenas prácticas. En términos generales, se abre una excelente oportunidad para que reguladores de todo el mundo se alineen en torno a marcos comunes como SP 800-81r3. Esto aportaría mayor coherencia entre jurisdicciones, mayor claridad para las organizaciones que buscan cumplir con la normativa y mejores resultados en materia de seguridad y resiliencia, tanto a nivel técnico como de negocio.
En definitiva, la nueva versión de la Guía supone un cambio cualitativo en el modo de desplegar y gestionar el DNS dentro de las estrategias de ciberseguridad de las organizaciones. Al considerar DNS en sus dos facetas, como riesgo y como herramienta de seguridad, ofrece una ruta clara y práctica para lograr una mayor resiliencia organizacional. A medida que las amenazas evolucionan y las regulaciones se endurecen, alinearse con estas mejores prácticas no solo es inteligente, sino esencial. Por lo tanto, es hora de convertir las mejores prácticas y la guía en acción, implementándolas en las operaciones de TI.
