Três formas de atacantes usarem DNS contra infraestrutura em produção. A maioria dos times de segurança não se defende de nenhuma delas.
DNS é a camada de resolução que fica embaixo de tudo. Você configura firewalls, implanta WAFs, monitora tráfego HTTP, e o DNS roda confiável e sem monitoramento por baixo de tudo isso. Atacantes perceberam isso há anos. A maioria das ferramentas de segurança loga eventos na camada de aplicação. Query logs de DNS ou não são coletados, ou não são revisados.
Três classes de ataque exploram essa brecha. Cada uma funciona de forma diferente, visa uma parte diferente do stack DNS e exige uma defesa diferente. O que têm em comum é que funcionam porque DNS é tratado como encanamento: infraestrutura que se assume estar bem até falhar.
Resumo: DNS hijacking redireciona um domínio para infraestrutura do atacante com um certificado TLS válido. DNS flooding tira um domínio do ar sem tocar no stack da aplicação. DNS tunneling move dados para fora da rede pela porta 53, um canal que a maioria dos firewalls passa sem inspecionar. Os três são evitáveis e nenhum exige reconstruir a infraestrutura existente.
Como a resolução DNS funciona antes de ser atacada
Cada ataque neste artigo visa um ponto específico na cadeia de resolução DNS. Entender a cadeia torna os ataques compreensíveis.
Quando um browser resolve um domínio, ele consulta um resolver recursivo. O resolver verifica o cache. Se o registro não está em cache, ele consulta os root nameservers, que direcionam para o nameserver TLD (o servidor responsável por .com, .io, e assim por diante), que por sua vez direciona para o nameserver autoritativo do domínio específico. O servidor autoritativo retorna o IP. O resolver armazena em cache pelo tempo do TTL e retorna ao cliente.
Quatro hops distintos. Cada um é uma superfície de ataque.
Ataque 1: DNS hijacking
O objetivo do DNS hijacking é fazer um domínio legítimo resolver para um endereço IP que o atacante controla.
O vetor mais comum visa o registrador de domínio. O atacante obtém acesso à conta do registrador, por meio de credential stuffing, phishing ou um canal de suporte comprometido, e altera os registros de nameserver. A partir daí, toda query DNS para o domínio é roteada para a infraestrutura que o atacante controla.
O detalhe que torna esse ataque perigoso é o certificado TLS. A emissão de certificados é baseada em DNS. Uma vez que um atacante controla os registros DNS de um domínio, pode solicitar e receber um certificado TLS válido de uma autoridade certificadora pública. O cadeado no browser está verde. A URL está correta. A página parece certa. As credenciais vão para o atacante. Os usuários não têm nenhum sinal de que algo está errado, porque por todo sinal visível, nada está.
Uma segunda variante visa o cache do resolver em vez do registrador. Cache poisoning funciona enviando uma resposta DNS forjada para um resolver antes que a resposta legítima chegue. Se a resposta forjada vencer a corrida, o resolver armazena o registro errado e o serve para todos os clientes naquele resolver até o TTL expirar. O ataque não exige acesso ao registrador. Exige velocidade e um resolver vulnerável.
Defesa: MFA na conta do registrador com alertas configurados para mudanças de nameserver para o vetor de comprometimento do registrador. DNSSEC fecha o vetor de cache poisoning: assina criptograficamente os registros de zona para que uma resposta forjada falhe na validação antes de chegar ao cliente.
Ataque 2: DNS flooding
O objetivo do DNS flooding é disponibilidade. Tire o servidor autoritativo do ar e o domínio vai ao escuro: NXDOMAIN para toda query, independente de a aplicação por trás estar rodando normalmente.
Servidores DNS autoritativos têm um limite de throughput. Envie mais queries por segundo do que o servidor consegue processar e ele para de responder. Da perspectiva do usuário: o site fica inacessível, emails retornam, chamadas de API dão timeout. Da perspectiva do time de operações: o stack da aplicação está saudável, os dashboards estão verdes, e nada explica por que o domínio não está resolvendo.
DNS amplification multiplica o volume do ataque. Um atacante falsifica o endereço IP da vítima e envia pequenas queries DNS para resolvers abertos na internet. Esses resolvers enviam respostas grandes para o endereço falsificado. A razão de amplificação pode chegar a 50 para 1, o que significa que um botnet pequeno gera centenas de gigabits por segundo de tráfego de entrada contra um único alvo.
Defesa: Anycast routing distribui o DNS autoritativo por muitas localidades simultaneamente. Quando tráfego de flood chega, ele atinge o nó mais próximo em vez de se concentrar em um único servidor. Esse nó absorve o que pode; o restante da rede continua servindo. O Edge DNS da Azion roda resolução autoritativa na rede distribuída da Azion com proteção DDoS integrada na camada de rede, para que o tráfego de flood nunca chegue a um único ponto de falha.
Ataque 3: DNS tunneling
DNS tunneling é o ataque que a maioria dos times de segurança ainda não considerou. Ele usa o próprio protocolo DNS para mover dados, não por HTTP ou HTTPS, mas por queries e respostas DNS carregando payloads codificados.
O setup exige um atacante que controla um domínio e seu nameserver autoritativo. Um malware numa máquina dentro da rede alvo codifica dados em strings de query DNS: algo estruturado como d3a1f2b.chunk04.exfil.atacante.com. Essa query sai pela porta 53. A maioria dos firewalls permite a saída da porta 53 sem inspecionar o conteúdo. A query chega ao servidor autoritativo do atacante. O servidor decodifica os dados da string do subdomínio e envia a próxima instrução de volta na resposta DNS. A troca continua, de ida e volta, por DNS, através do perímetro da rede.
O firewall registrou uma query DNS. O SIEM ignorou. Os dados saíram.
O que torna isso difícil de detectar é que o tráfego parece legítimo no nível do protocolo. Queries DNS na porta 53 são esperadas e permitidas. A diferença está no padrão: tráfego de tunneling tem strings de subdomínio incomumente longas, alto volume de queries para um único domínio e distribuições de caracteres que não batem com hostnames reais. Tráfego DNS normal é curto, vai para um conjunto pequeno de domínios conhecidos, e os subdomínios parecem hostnames reais.
Defesa: Logue o tráfego da porta 53 e procure anomalias em comprimento de query, frequência e entropia de subdomínio. O Real-Time Events da Azion captura dados de query DNS na borda da rede, dando visibilidade sobre o que está saindo da rede antes de as requisições chegarem à infraestrutura de origem. Bloquear ou fazer rate-limiting de DNS de saída para resolvers desconhecidos reduz completamente a disponibilidade do canal para exfiltração.
O fio condutor
Os três ataques exploram a mesma condição: DNS roda confiável e sem monitoramento.
Hijacking funciona porque ninguém monitora mudanças de nameserver no registrador. Flooding funciona porque servidores autoritativos são pontos únicos de falha. Tunneling funciona porque o tráfego de saída pela porta 53 passa livre pela maioria dos controles de perímetro.
| Ataque | Alvo | Ponto cego | Defesa |
|---|---|---|---|
| Hijacking | Conta do registrador ou cache do resolver | Sem alertas para mudanças de nameserver | MFA no registrador, DNSSEC |
| Flooding | Throughput do servidor autoritativo | Domínio vai ao escuro com stack da aplicação saudável | Anycast routing, proteção DDoS |
| Tunneling | Canal de saída pela porta 53 | Conteúdo de query DNS não inspecionado | Logging da porta 53, detecção de anomalias em queries |
MFA e DNSSEC para hijacking. Anycast distribution para flooding. Query logging para tunneling. Nenhum exige reconstruir a infraestrutura existente. A auditoria dos três pontos, MFA no registrador, DNSSEC ativo e logging da porta 53 ativo, leva menos de uma hora.
O que o Edge DNS cobre
O Edge DNS da Azion roda DNS autoritativo na rede distribuída da Azion. DNSSEC já está integrado. A proteção DDoS absorve o tráfego de flood na camada de rede antes que ele se concentre em qualquer nó único. Os query logs de DNS fluem para o Real-Time Events, então volume de queries, padrões de subdomínio e comportamento de resolução ficam visíveis sem ferramentas adicionais.
As três superfícies de ataque, hijacking, flooding e tunneling, são cobertas por uma única configuração.
Fale com um especialista da Azion para ver como o Edge DNS lida com resolução autoritativa, DNSSEC e visibilidade de queries DNS em escala.
DNS fica embaixo de tudo, e a maioria dos times trata dessa forma: configura uma vez, nunca mais olha. Atacantes contam com isso.
MFA no registrador. DNSSEC ativo. Logging da porta 53 ativo. Três checagens, menos de uma hora. Não fazer isso é uma escolha.
Perguntas frequentes
O que é DNS hijacking? DNS hijacking é um ataque onde um atacante obtém controle dos registros DNS de um domínio, geralmente comprometendo a conta do registrador, e redireciona a resolução para infraestrutura que controla. Como a emissão de certificados TLS é baseada em DNS, atacantes podem obter um certificado válido para o domínio comprometido. Os usuários veem um cadeado verde e uma URL correta enquanto interagem com infraestrutura controlada pelo atacante.
O que é DNS cache poisoning? DNS cache poisoning é uma variante do DNS hijacking que visa os caches de resolvers em vez de contas de registradores. Um atacante envia uma resposta DNS forjada para um resolver recursivo antes que a resposta legítima chegue. Se a resposta forjada for aceita, o resolver armazena e serve o IP errado para todos os clientes naquele resolver até o TTL expirar. DNSSEC previne isso assinando criptograficamente os registros de zona para que respostas forjadas falhem na validação.
Como funciona um ataque de DNS flood? Um DNS flood envia mais queries por segundo para um servidor autoritativo do que ele consegue processar, fazendo com que pare de responder. Da perspectiva do usuário, o domínio fica inacessível: NXDOMAIN em toda query, mesmo com a aplicação por trás funcionando normalmente. DNS amplification explora resolvers abertos: um atacante falsifica o IP da vítima, envia queries pequenas para resolvers abertos, e esses resolvers retornam respostas grandes para o endereço falsificado, multiplicando o volume de tráfego em até 50 para 1.
O que é DNS tunneling e por que é difícil de detectar? DNS tunneling codifica dados em strings de query DNS e os envia para um servidor autoritativo controlado pelo atacante na porta 53. A maioria dos firewalls permite tráfego de saída pela porta 53 sem inspecionar o conteúdo das queries. Os dados são decodificados da string do subdomínio no servidor do atacante. Como o tráfego usa o protocolo DNS legítimo na porta esperada, ele passa pelos controles de perímetro que bloqueariam outros canais de exfiltração. A detecção exige logging do tráfego da porta 53 e análise de comprimento de query, frequência e entropia de subdomínio para anomalias.
O que é DNSSEC e contra o que ele protege? DNSSEC é um conjunto de extensões DNS que assina criptograficamente os registros de zona. Quando um resolver recebe uma resposta DNS, valida a assinatura contra a chave pública publicada na cadeia de confiança do DNS. Uma resposta forjada ou adulterada falha na validação da assinatura e é rejeitada. DNSSEC protege contra cache poisoning e ataques de falsificação de resposta, mas não protege contra comprometimento de conta de registrador. Isso exige MFA e controles de acesso no nível do registrador.
O que é anycast DNS e por que importa para proteção DDoS? Anycast routing anuncia o mesmo endereço IP de múltiplas localizações geográficas simultaneamente. Uma query DNS é roteada para o nó disponível mais próximo. Sob um ataque de flood, o tráfego se concentra no nó mais próximo em vez de em um único servidor de origem. Esse nó absorve o que pode; os outros nós continuam servindo normalmente. Para DNS autoritativo, anycast significa que um flood volumétrico não consegue derrubar toda a infraestrutura de resolução. Ele só pode afetar a parte da rede mais próxima da origem do ataque.
