Proteger el servidor DNS

Un servidor autoritativo solo debe responder por sus zonas. Si además resuelve cualquier nombre para cualquiera que pregunte desde Internet, es un resolutor abierto. Eso lo convierte en herramienta de otros: pueden usarlo para amplificar un ataque de denegación contra terceros, porque una pregunta pequeña produce una respuesta grande dirigida a la víctima, cuya dirección el atacante falsifica como origen.

El daño recae sobre la empresa dueña del servidor: consumo de ancho de banda, reputación y, a veces, el bloqueo de su dirección.

La corrección empieza por encontrar el servidor: la política exige que la recursión sea solo para las redes internas, y los autoritativos, ninguna. El informe externo muestra el resultado de una prueba autorizada, pero la configuración confirma la causa.

Consulta parametros y filtra por Recursión para.

Las zonas se copian del servidor principal al secundario mediante una transferencia de zona. Si se permite a cualquiera, cualquier persona puede pedirla y recibe la lista completa de nombres de la empresa: servidores internos, pruebas olvidadas, equipos de gestión. Es un mapa gratuito. Debe quedar restringida a las direcciones de los servidores secundarios.

El informe externo trae una prueba de ese tipo; la configuración dice cuál servidor la permite.

Además de lo anterior, la política pide limitar la repetición de respuestas idénticas a un mismo origen (frena el uso del servidor como amplificador), no mostrar la versión del software y mantener los parches al día. Cada parámetro fuera de la política es un hallazgo con su evidencia.

Filtra parametros por cumple y cuenta las filas.

Con seis hallazgos, el orden importa. Se prioriza por el daño que puede causar lo que está abierto al exterior y por lo fácil que es corregir. Hay cambios de una línea y cambios que requieren una ventana de mantenimiento.