Segurança de DNS para defensores: DNSSEC, DoH e hardening do registrador

O DNS é a agenda de endereços em que toda a internet confia, e essa confiança o torna um alvo prioritário. Se um atacante consegue mudar para onde seu domínio aponta, redirecionar seu correio ou forjar respostas às consultas dos seus usuários, ele contorna a maioria das suas outras defesas antes que um único pacote alcance a sua aplicação. Este guia voltado ao defensor explica três camadas distintas de proteção de DNS — DNSSEC para autenticidade dos dados, DNS cifrado (DoH e DoT) para privacidade da consulta e hardening do registrador e das contas para a segurança do plano de controle — e mostra como detectar adulteração e endurecer cada camada sem quebrar a resolução.

Por que o DNS é um alvo de tão alto valor#

O DNS fica no início de quase toda conexão e foi projetado sem autenticação nem confidencialidade. Três propriedades o tornam atraente para atacantes. Primeira, um redirecionamento bem-sucedido é invisível: as vítimas digitam o nome correto e mesmo assim aterrissam em infraestrutura hostil. Segunda, o DNS controla mais que o tráfego web — ele direciona a entrega de correio (MX), a validação de emissão de certificados e a descoberta de serviços, então o controle do DNS pode habilitar interceptação de e-mail e até certificados TLS fraudulentos. Terceira, o plano de controle (suas contas de registrador e de hospedagem de DNS) costuma ser fracamente protegido em comparação aos sistemas de produção, o que faz do sequestro de contas um caminho eficiente para o sequestro de domínios.

DNSSEC: autenticar os dados, não o canal#

As Extensões de Segurança do DNS (DNSSEC) adicionam assinaturas criptográficas aos registros DNS para que um resolver validador possa provar que uma resposta veio de fato do dono da zona e não foi modificada em trânsito. Cada zona assina seus registros (RRSIG), publica chaves de assinatura (DNSKEY), e uma cadeia de confiança é estabelecida da raiz para baixo por meio de registros DS em cada pai. O que o DNSSEC lhe dá é autenticação de origem e integridade: ele derrota o envenenamento de cache e as respostas forjadas. O que ele não dá é confidencialidade — consultas e respostas permanecem legíveis no fio — e não protege contra o sequestro da conta que permite a um atacante reassinar a zona legitimamente. Implante-o, mas entenda seu alcance.

DNS cifrado: DoH e DoT para privacidade da consulta#

DNS over HTTPS (DoH) e DNS over TLS (DoT) cifram a consulta entre o cliente e o resolver, impedindo que observadores no caminho leiam ou adulterem as resoluções. Isso fecha uma lacuna real de privacidade e integridade em redes não confiáveis. Para defensores, o DNS cifrado é de dois gumes: protege seus usuários, mas também pode ocultar resoluções maliciosas e comando e controle se os endpoints contornarem seu resolver. A postura defensiva é prover um resolver cifrado que você controla e direcionar ou bloquear o DoH público não autorizado para que a telemetria de DNS permaneça visível para o seu stack de segurança. DNS cifrado e DNSSEC são complementares: um protege o canal, o outro autentica os dados.

O plano de controle: segurança do registrador e da conta de DNS#

Os incidentes de DNS mais danosos geralmente não são ataques engenhosos de protocolo, mas simples sequestro de contas. Se um atacante faz phishing ou credential stuffing no seu login do registrador, ele pode reapontar os servidores de nomes, mudar registros MX para interceptar redefinições de senha e solicitar certificados para o seu domínio. Endurecer o plano de controle significa exigir MFA resistente a phishing nas contas de registrador e de hospedagem de DNS, habilitar o bloqueio do registrador (e o bloqueio de registro para domínios críticos, que exige verificação manual fora de banda para mudar), restringir quem detém essas credenciais e monitorar mudanças inesperadas. Trate essas contas com o mesmo rigor que o admin de domínio no seu diretório.

Superfície de ataque e técnicas a entender#

Defensores devem reconhecer os modos de falha em nível conceitual. O envenenamento de cache injeta respostas forjadas no cache de um resolver; a validação DNSSEC e a aleatorização da porta de origem são as contramedidas. O sequestro de domínio muda os dados de registro ou de servidores de nomes por comprometimento de conta; o bloqueio de registrador/registro e a MFA são as contramedidas. A tomada de subdomínio ocorre quando um registro DNS ainda aponta para um recurso de nuvem desprovisionado que um atacante pode reivindicar; a correção é higiene de DNS disciplinada e varredura de registros pendentes. O abuso de resolver como a amplificação usa resolvers abertos para DDoS; não rode recursão aberta. Saber qual controle endereça qual técnica evita esforço desperdiçado.

Detecção: monitorar seus próprios registros#

A detecção de DNS mais valiosa é o monitoramento de mudanças nas suas próprias zonas. Faça periodicamente um snapshot dos seus registros autoritativos — NS, MX, A/AAAA, TXT, CAA, DNSKEY e DS — e alerte sobre qualquer diferença que você não iniciou pelo seu processo de mudança. Observe especialmente de perto as mudanças de servidores de nomes (NS) e MX, pois são os indicadores de sequestro de alto impacto. Monitore os logs de Transparência de Certificados em busca de certificados emitidos para seus domínios que você não solicitou, o que pode revelar um sequestro ou uma emissão não autorizada. Acompanhe o status de validação DNSSEC para saber imediatamente se assinaturas expiram ou a cadeia quebra, o que causa quedas que parecem ataques.

Detecção: telemetria de consultas e DNS passivo#

Do lado do resolver, registre e analise as consultas DNS do seu ambiente. Detecções de alto valor incluem consultas a domínios recém-registrados ou de baixa reputação, rótulos de subdomínio incomumente longos ou de alta entropia que sugerem tunelamento de DNS ou exfiltração, picos em consultas TXT ou NULL, e endpoints alcançando provedores DoH externos que contornam seu resolver autorizado. Enriqueça com DNS passivo para ver a resolução histórica de um domínio e pivotar durante investigações. Alimente os logs do resolver no seu SIEM e estabeleça uma linha de base do comportamento normal para que intervalos de beacon e destinos raros se destaquem. O objetivo é manter o DNS como fonte de visibilidade, não como ponto cego.

Mitigação e hardening#

Reúna as camadas em um programa de hardening. Assine suas zonas com DNSSEC usando algoritmos modernos e automatize a rotação de chaves para que as assinaturas nunca expirem inesperadamente. Publique um registro CAA para restringir quais autoridades certificadoras podem emitir para o seu domínio, cortando a emissão não autorizada. Habilite o bloqueio do registrador e o bloqueio de registro para os seus domínios mais críticos. Exija MFA resistente a phishing e privilégio mínimo em cada conta de registrador e DNS. Rode um resolver interno validador e cifrado, e direcione os clientes para ele enquanto bloqueia o DoH rebelde. Varra regularmente registros pendentes que permitem tomada de subdomínio, e remova as entradas DNS como parte do descomissionamento de qualquer recurso de nuvem.

O dilema de visibilidade do DoH#

O DNS cifrado merece atenção especial porque muda a sua postura de detecção. Quando os endpoints usam DoH público, suas resoluções ficam invisíveis para o monitoramento de DNS baseado em rede, algo que o malware explora cada vez mais para comando e controle furtivo. A resposta equilibrada não é banir a cifragem, mas possuí-la: implante seu próprio resolver DoH/DoT, configure endpoints e navegadores para usá-lo por política (domínios canary e configurações corporativas existem exatamente para isso), e detecte ou bloqueie conexões a endpoints DoH não autorizados na saída. Isso preserva a privacidade do usuário frente a terceiros mantendo a telemetria de que seus defensores precisam.

Armadilhas comuns#

A má configuração de DNSSEC é a clássica queda autoinfligida: uma RRSIG expirada ou um registro DS incompatível torna o seu domínio inteiro irresolúvel para resolvers validadores, então automatize a rotação e monitore o vencimento. Esquecer CAA deixa qualquer CA livre para emitir por você. Deixar contas de registrador com MFA baseada em SMS as mantém passíveis de phishing. Supor que o DNSSEC oferece privacidade é errado: ele não cifra nada. Supor que o DoH oferece autenticidade é igualmente errado: ele protege o canal até o resolver, mas não a origem dos dados. E descomissionar um serviço de nuvem sem remover seu registro DNS é a causa número um de tomada de subdomínio. Cada um desses é evitável com disciplina de processo.

Checklist de hardening#

1. Assinatura DNSSEC habilitada com rotação de chaves automatizada e monitoramento de expiração. 2. Registros CAA publicados para restringir a emissão de certificados. 3. Bloqueio do registrador em todos os domínios; bloqueio de registro nos críticos para o negócio. 4. MFA resistente a phishing e privilégio mínimo nas contas de registrador e de hospedagem de DNS. 5. Monitoramento de mudanças automatizado em registros NS, MX, A/AAAA, TXT, CAA, DS com alerta sobre diferenças inesperadas. 6. Monitoramento de Transparência de Certificados para os seus domínios. 7. Resolver interno validador e cifrado com direcionamento/bloqueio de DoH rebelde e log de consultas no SIEM. 8. Varredura de registros pendentes e limpeza de DNS integradas ao descomissionamento.

FAQ: o DNSSEC substitui o TLS ou o DNS cifrado?#

Não. Eles resolvem problemas diferentes e em geral você quer os três. O DNSSEC autentica os dados de DNS para que você possa confiar na resposta recebida, mas envia essa resposta em claro. O DNS cifrado (DoH/DoT) oculta a consulta dos observadores de rede mas não prova a origem dos dados. O TLS protege a conexão até o destino após a resolução de DNS. Uma postura robusta empilha DNSSEC para integridade, DNS cifrado para privacidade da consulta e TLS com certificados restritos por CAA para a conexão em si.

FAQ: o DoH é ruim para a segurança corporativa?#

O DoH é uma ferramenta, não uma ameaça em si. Ele protege genuinamente os usuários em redes hostis. O risco para os defensores é a perda de visibilidade de DNS quando os endpoints usam resolvers DoH externos que contornam o monitoramento corporativo e podem ocultar tráfego de malware. A resposta é rodar seu próprio resolver cifrado, empurrar os clientes para ele por política e detectar ou bloquear conexões a provedores DoH não autorizados na sua saída. Feito assim, você mantém tanto a privacidade do usuário frente a terceiros quanto a telemetria interna da qual sua detecção depende.

Conclusão#

A segurança de DNS é uma disciplina em camadas, e os maiores erros vêm de supor que um controle cobre tudo. O DNSSEC autentica os dados e derrota a falsificação; o DNS cifrado protege a consulta em trânsito; o hardening do registrador e da conta protege o plano de controle onde os sequestros mais danosos de fato acontecem. Em torno dos três, o monitoramento contínuo dos seus próprios registros, da Transparência de Certificados e da telemetria de consultas transforma o DNS de um ponto único de falha silencioso em um sistema de alerta antecipado. Assine suas zonas, bloqueie seu registrador, possua seu resolver e vigie seus registros — e você remove um dos pivôs mais poderosos que um atacante pode usar contra você.