El sistema de nombres de dominio (DNS) es lo que hace posible que los usuarios se conecten a sitios web utilizando nombres de dominio de Internet y URL de búsqueda en lugar de direcciones de protocolo de Internet numéricas. En lugar de tener que recordar una dirección IP como 93.184.216.34, los usuarios pueden buscar www.ejemplo.com.

La tecnología detrás del DNS se puede comparar con la forma en que se administran los contactos telefónicos en los teléfonos inteligentes. En lugar de tener que recordar números de teléfono individuales, los usuarios pueden almacenar y localizar números fácilmente almacenándolos en sus listas de contactos, que se pueden buscar fácilmente por nombre y apellido.

La tecnología de traducción detrás del DNS también ha definido completamente cómo las empresas utilizan Internet, especialmente cuando crean su identidad de marca y se presentan a sus clientes. Sin el uso de un sistema de nombres de dominio, los clientes podrían perder rápidamente la pista de los sitios web que estaban buscando. Y aunque las direcciones IP pueden cambiar de vez en cuando, los nombres de dominio son fáciles de recordar y se mantienen consistentes.

Es importante diferenciar entre el uso de un DNS público y uno privado.

• DNS público: los registros de IP generalmente los proporciona su proveedor de servicios de Internet (ISP) a su empresa. Estos registros están disponibles para el público y cualquier persona puede acceder a ellos, independientemente del dispositivo que utilicen o la red a la que están conectados.
  
  
• DNS privado: un DNS privado es diferente a uno público debido a que reside detrás de un firewall de la empresa y solo contiene registros de sitios internos. En este caso, el DNS privado está limitado en su alcance a recordar direcciones IP de los sitios y servicios internos que se utilizan y no se puede acceder fuera de la red privada.

En la mayoría de los casos, los usuarios dependerán del DNS público al convertir los nombres de host en direcciones IP. Aquí hay una descripción general de alto nivel de cómo funciona ese proceso:

1. Un usuario ingresa un nombre de dominio o URL (por ejemplo, www.ejemplo.com) en un navegador. Esto luego envía una consulta a un servidor DNS local, generalmente proporcionado por un sistema operativo local o su proveedor de servicios de Internet. Este intermediario entre el cliente y el servidor de nombres DNS se conoce como resolutor recursivo y está diseñado para solicitar o recibir información consultada del servidor de nombres hacia y desde el cliente.
   
   
2. El solucionador recursivo solicita una consulta, que se pasa a los servidores de nombres raíz que responden con el servidor de nombres TLD apropiado al cual dirigirse, según la extensión del nombre de dominio que se busca. Los servidores de nombres raíz también son supervisados por la Corporación de Internet para la Asignación de Nombres y Números (ICANN). El servidor de nombres de TLD es lo que contiene toda la información de las URL que terminan con extensiones comunes como .com, .net, .edu y .gov.
   
   
3. Debido al volumen de búsquedas de DNS que se realizan de forma regular, se utiliza un solucionador recursivo para agrupar las solicitudes de búsqueda en lotes que identifican el DNS autorizado con la dirección IP correcta en función de la consulta de búsqueda realizada. El servidor de nombres autorizado suele ser el último paso en una búsqueda de DNS. Después de que un solucionador recursivo recibe una respuesta del servidor de nombres de TLD, se mueve a un servidor de nombres autorizado donde se encuentra la dirección IP para ser devuelta al cliente.

El DNS se ha vuelto fundamental para la funcionalidad principal de Internet, ayudando a los usuarios a navegar fácilmente por un mar de direcciones IP a través de registros de recursos. Sin estos procesos esenciales, sería prácticamente imposible admitir todas las funciones que usamos a diario en línea y limitaría nuestras capacidades cuando se trata de configurar servicios de correo, redireccionamientos de sitios web o reconocer direcciones web IPv4 e IPv6 complejas. Pero lo que hace que las búsquedas de DNS sean tan sorprendentes es que, independientemente de lo complejo que sea el proceso, todas las consultas de búsqueda y redireccionamientos del servidor ocurren en solo milisegundos, sin afectar el lado del cliente. 

Muchas organizaciones encuentran beneficioso tener sus propios servidores DNS. Hay varias ventajas de este enfoque, pero en última instancia, se trata de una mejor consistencia y control sobre sus propias propiedades web. Dado que es el administrador del servidor, puede configurar todos los parámetros para sus máquinas, incluidos los procesos de búsqueda, los protocolos de seguridad y las capacidades de rendimiento.

Al decidir qué tipo de servidor DNS utilizar, dos de las consideraciones más importantes son la escalabilidad y el rendimiento que proporciona el servidor. La velocidad con la que un servidor DNS responde a las consultas depende de una serie de variables, incluida la ubicación geográfica del usuario en relación con el servidor, las configuraciones de equilibrio de carga y el filtrado de consultas.

Otra opción que tienen los usuarios es confiar en una solución DDI, una plataforma centralizada que integra y gestiona todos los servicios de DNS, DHCP e IPAM. DDI brinda a las empresas la capacidad de simplificar y automatizar la gestión de volúmenes crecientes de direcciones IP al mismo tiempo que suministran e integran adecuadamente otros sistemas de orquestación en la nube.

Si bien la mayoría de los servidores DNS modernos son bastante seguros, los sistemas más antiguos que se diseñaron hace muchos años pueden presentar sus propios desafíos de seguridad empresarial. Aquí están un par de riesgos comunes asociados con el uso de estos servidores DNS.

Secuestro de DNS
 

También conocido como ataque de redirección, el secuestro de DNS ocurre cuando las consultas de DNS se solucionan incorrectamente y redirigen a los usuarios a sitios web falsos y maliciosos. Esto se hace instalando malware en las computadoras de los usuarios que se apoderan de los enrutadores o secuestran las comunicaciones DNS a medida que ocurren.

Envenenamiento de caché
 

El envenenamiento de la caché de DNS ocurre cuando un hacker obtiene el control de un servidor DNS y compromete las entradas de la dirección IP. Estas entradas falsas luego se difunden globalmente a los proveedores de servicios de Internet, donde se almacenan en caché y se utilizan en búsquedas públicas de DNS.

Una forma de combatir eficazmente estos riesgos es mediante el uso de DNSSec. DNSSec utiliza un sistema de nombres de dominio seguro y asigna firmas criptográficas a los registros DNS, lo que garantiza que los registros no se puedan alterar de su estado original. Similar a HTTPS, DNSSec agrega una capa adicional de seguridad para acceder a los registros DNS sin la necesidad de un cifrado pesado que ralentiza el proceso de consulta.

Independientemente del tipo de servicios DNS que elija utilizar, existen algunas prácticas recomendadas que puede seguir para evitar presentar una superficie de ataque y minimizar cualquier problema de seguridad potencial:

1. Vaciado de DNS: limpiar regularmente su caché de DNS eliminará todas las entradas en su sistema local. Este proceso es útil para eliminar cualquier registro DNS inválido o comprometido que podría dirigirlo a sitios maliciosos.
   
   
2. nslookup: nslookup es un programa y un código de comando que pueden utilizar los administradores del servidor para averiguar la dirección IP de un nombre de host específico. Esto permite a los usuarios protegerse contra ataques de phishing y confirmar bajo demanda la validez de los sitios que visitan.
   
   
3. Prueba de fugas de DNS: hay varios servicios gratuitos disponibles para ejecutar una prueba de fugas de DNS (enlace externo a ibm.com). Cuando usan VPN seguras o servicios de privacidad, en ocasiones, puede encontrar que están mal configuradas y que todavía se están usando los servidores DNS predeterminados. Esto significará que cualquier persona que supervise el tráfico de la red podrá registrar su actividad con fines maliciosos. Realizar una prueba de fugas de DNS garantizará que tenga un túnel VPN cerrado y que el tráfico de su red permanezca seguro.