El DNS raro

El registro DNS de Zeek apunta cada pregunta con su respuesta. NOERROR es que el nombre existe; NXDOMAIN, que no existe. En una red sana los NXDOMAIN rondan el medio por ciento: alguien escribió mal una dirección, una configuración vieja pregunta por un servidor que ya no está.

Algunos programas maliciosos no llevan escrita la dirección de su servidor de mando, porque bastaría con bloquearla. Llevan un algoritmo que genera nombres (DGA, por sus siglas en inglés): cada día produce cientos de nombres sin sentido, y quien los controla registra solo uno o dos. El programa los pregunta todos hasta que uno contesta. En el registro eso es inconfundible: una ráfaga de nombres que no son palabras, casi todos NXDOMAIN, desde un solo equipo, en un par de minutos.

De toda la ráfaga, el nombre que importa es el que sí resolvió: es el que alguien registró a propósito, y la dirección que devolvió es a la que el programa va a llamar a continuación. Después de esa respuesta, la ráfaga se corta: el programa ya tiene lo que buscaba.

Ese nombre es el indicador que se lleva al ticket, se bloquea en el DNS y se busca en el resto del parque. Mira además cuándo se dio de alta: un dominio que se registró ayer y que un puesto de recepción encuentra hoy, tras cuatrocientos intentos fallidos, no tiene una explicación inocente.

Cada respuesta DNS lleva un TTL: los segundos que se puede guardar antes de volver a preguntar. Una web normal usa horas. Un TTL de segundos obliga a preguntar casi cada vez, y eso permite cambiar la dirección de un nombre muy rápido: útil para quien monta una campaña y quiere mover su servidor en cuanto lo bloquean.

Pero las redes de distribución de contenidos —las que sirven las imágenes y los programas de media internet— también usan TTL de un minuto, por motivos legítimos: mandar a cada equipo al servidor más cercano. El TTL solo es un dato pobre. Lo que lo convierte en señal es sumarle la antigüedad del dominio, cuántas direcciones distintas devuelve y cuántos equipos de la empresa lo preguntan.

Un dominio de internet debería resolver a direcciones de internet. Cuando un nombre que no es de la empresa devuelve una dirección privada de la propia red —una 10.x, por ejemplo—, algo raro pasa. Puede ser una configuración torpe de algún proveedor, pero también es la forma de alcanzar un servidor interno con un nombre que no está en ninguna lista, o de hacer que un navegador hable con una máquina de dentro creyendo que habla con una web de fuera.

No hace falta saber cuál de las dos es para marcarlo: un nombre recién registrado que apunta a la base de datos del almacén merece un ticket propio y una pregunta a quien lo consultó.

El registro DNS de Zeek da la dirección del equipo que preguntó, siempre que el sensor esté antes del resolutor; si estuviera después, todas las preguntas parecerían del resolutor y el rastro se perdería ahí. Aquí está antes. El escalado de una ráfaga así necesita el equipo y su responsable, porque lo siguiente no es la red: es el agente de ese puesto.