El sistema de nombres de dominio (DNS) es lo que hace posible que los usuarios se conecten a sitios web utilizando nombres dominio de Internet y URL rastreables en lugar de direcciones numéricas de protocolo de Internet. En vez de tener que recordar una dirección IP, como 93.184.216.34, los usuarios pueden buscar www.ejemplo.

La tecnología detrás de DNS se puede comparar con la forma en que se administran los contactos telefónicos en los teléfonos inteligentes. En lugar de tener que recordar los números de teléfono de cada contacto, los usuarios pueden almacenar y buscar los números fácilmente almacenándolos en sus listas de contactos, los cuales se pueden buscar fácilmente por nombre y apellido.

La tecnología de conversión detrás de DNS también ha definido cómo las empresas utilizan Internet, especialmente a la hora de crear su identidad de marca y presentarse a sus clientes. Sin el uso de un sistema de nombres de dominio, los clientes podrían perder rápidamente el rastro de los sitios web que estaban buscando. Y aunque las direcciones IP pueden cambiar de vez en cuando, los nombres de dominio son fáciles de recordar y se mantienen coherentes.

Es importante diferenciar entre usar un DNS público y uno privado.

• DNS público: un proveedor de servicios de Internet (ISP, por sus siglas en inglés) suele ser el encargado de proporcionar los registros de IP a su empresa. Estos registros están disponibles públicamente y cualquier persona puede acceder a ellos, independientemente del dispositivo que utilice o de la red de conexión.
  
  
• DNS privado: un DNS privado se diferencia de uno público en que reside detrás de un cortafuegos empresarial y solo guarda registros de sitios internos. En este caso, el DNS privado se limita a recordar las direcciones IP de los sitios y los servicios internos que se utilizan y no se puede acceder fuera de la red privada.

En la mayoría de los casos, los usuarios confiarán en el DNS público para convertir nombres de host en direcciones IP. A continuación, se presenta una descripción general de alto nivel de cómo funciona este proceso:

1. Un usuario introduce un nombre de dominio o URL (por ejemplo, www. ejemplo) en un navegador, el cual envía una consulta a un servidor DNS local, generalmente proporcionado por un sistema operativo local o su proveedor de servicios de Internet. Este intermediario entre el cliente y el servidor de nombres DNS se conoce como aplicación de resolución recursiva, y está diseñada para solicitar o recibir información del servidor de nombres consultada a y desde el cliente.
   
   
2. La aplicación de resolución recursiva solicita una consulta, que se transfiere a los servidores de nombres de raíz que responden con el servidor de nombres de TLD apropiado al que dirigirse, en función de la extensión del nombre de dominio que se busca. La Corporación para la Asignación de Nombres y Números de Internet (ICANN, por sus siglas en inglés) también supervisa los servidores de nombres de raíz. El servidor de nombres de TLD es el que guarda todo la información de las URL que tienen extensiones comunes, como .com, .net, .edu, and .gov.
   
   
3. Debido al volumen de búsquedas de DNS que se realizan regularmente, se utiliza una aplicación de resolución recursiva para agrupar las solicitudes de búsqueda en lotes que identifican el DNS autoritativo con la dirección IP correcta en función de la consulta de búsqueda realizada. El servidor de nombres autoritativo suele ser el último paso en una búsqueda de DNS. Después de que una aplicación de resolución recursiva obtenga una respuesta del servidor de nombres de TLD, se transfiere a un servidor de nombres autoritativo donde se encuentra la dirección IP que se devolverá al cliente.

El DNS es fundamental para la funcionalidad básica de Internet, ayudando a los usuarios a navegar fácilmente en un mar de direcciones IP a través de registros de recursos. Sin estos procesos esenciales, sería prácticamente imposible dar soporte a todas las funciones que utilizamos a diario en línea y limitaría nuestra capacidad en torno a la configuración de servicios de correo, redireccionamientos de sitios web o el reconocimiento de direcciones web IPv4 e IPv6 complejas. Pero lo que hace que las búsquedas de DNS sean tan increíbles es que, independientemente de cuán complejo pueda ser el proceso, todas las consultas de búsqueda y los redireccionamientos de servidor ocurren en meros milisegundos, sin afectar al lado del cliente. 

Muchas organizaciones consideran beneficioso contar con sus propios servidores DNS. Este enfoque presenta varias ventajas, pero en última instancia, se reduce a una mayor consistencia y control sobre sus propias propiedades web. Como usted es el administrador del servidor, puede establecer todos los parámetros para sus máquinas, incluidos los procesos de búsqueda, los protocolos de seguridad y las prestaciones de rendimiento.

A la hora de decidir qué tipo de servidor DNS utilizar, dos de los aspectos más importantes que se deben considerar son la escalabilidad y el rendimiento que proporciona el servidor. La velocidad con la que un servidor DNS responde a las consultas depende de un número de variables, entre ellas la ubicación geográfica del usuario en relación con el servidor, las configuraciones del equilibrio de carga y la filtración de consultas.

Otra opción que tienen los usuarios es confiar en una solución DDI, que es una plataforma centralizada que integra y gestiona todos los servicios de DNS, DHCP e IPAM. DDI proporciona a las empresas la capacidad de simplificar y automatizar la gestión de volúmenes crecientes de direcciones IP, al tiempo que suministra e integra adecuadamente otros sistemas de orquestación en la nube.

Si bien la mayoría de los servidores DNS modernos son bastante seguros, los sistemas más antiguos que se diseñaron hace muchos años pueden presentar sus propios desafíos de seguridad para la empresa. A continuación, se exponen algunos riesgos comunes asociados al uso de estos servidores DNS.

Apropiación de DNS
 

También conocido como ataque de redirección, la apropiación de DNS ocurre cuando las consultas de DNS se resuelven incorrectamente y redirigen a los usuarios a sitios web falsos y maliciosos. Esto se hace mediante la instalación de malware en los sistemas de los usuarios, el cual toma el control de los direccionadores o se apropia de las comunicaciones DNS a medida que se producen.

Envenenamiento de caché
 

El envenenamiento de caché de DNS se produce cuando un hacker toma el control de un servidor DNS y compromete las entradas de direcciones IP. Estas entradas falsas luego se dispersan globalmente a los proveedores de servicio de Internet, donde se almacenan en memoria caché y se usan en búsquedas de DNS público.

Una forma de combatir estos riesgos de manera efectiva es mediante el uso de DNSSec. DNSSec utiliza un sistema de nombres de dominio seguro y asigna firmas criptográficas a los registros de DNS, lo que garantiza que no se pueda modificar el estado original de los registros. Al igual que HTTPS, DNSSec agrega una capa adicional de seguridad para acceder a los registros de DNS sin necesidad de un cifrado denso que ralentiza el proceso de consulta.

Independientemente del tipo de servicios de DNS que elija utilizar, existen algunas prácticas recomendadas que puede seguir para evitar presentar una superficie de ataque y minimizar cualquier posible problema de seguridad:

1. Lavado de DNS: Borrar periódicamente su caché de DNS eliminará todas las entradas de su sistema local. Este proceso es útil para eliminar registros de DNS no válidos o comprometidos que podrían estar dirigiéndole a sitios maliciosos.
   
   
2. nslookup: nslookup es un programa y código de mandato que pueden utilizar los administradores de servidor para encontrar la dirección IP de un nombre de host específico. Esto permite a los usuarios protegerse ante ataques de phishing y confirmar bajo demanda la validez de los sitios que están visitando.
   
   
3. Prueba de fugas de DNS: existen varios servicios gratuitos disponibles para ejecutar una prueba de fugas de DNS (enlace externo a ibm.com). Cuando utiliza VPN seguras o servicios de privacidad, en ocasiones encontrará que están mal configurados y que todavía se están utilizando servidores DNS predeterminados. Esto significa que cualquier persona que monitorice el tráfico de red aún podrá registrar su actividad con fines maliciosos. Ejecutar una prueba de fugas de DNS garantizará que tenga un túnel VPN cerrado y que su tráfico de red siga protegido.