La risoluzione dei nomi di dominio e il controllo delle porte TCP costituiscono due pilastri della politica di sicurezza della rete. Dall’entrata in vigore del regolamento di esecuzione europeo 2024/2690 il 1° luglio 2025, i fornitori DNS, i registri di domini di primo livello e i servizi cloud sono soggetti a requisiti tecnici precisi. Questo quadro normativo modifica concretamente il modo in cui i team di rete devono affrontare il filtraggio DNS e la governance dei flussi TCP.
DNS crittografato e perdita di visibilità della rete: un angolo morto sottovalutato
DNS over HTTPS (DoH), DNS over TLS (DoT) e DNS over QUIC proteggono la riservatezza delle richieste tra il client e il risolutore. Questa protezione ha un rovescio della medaglia: quando un browser o un sistema operativo utilizza un risolutore esterno non controllato dall’organizzazione, le politiche di filtraggio interne diventano inoperative.
Il problema non si limita al bypass delle liste di blocco. Un risolutore esterno può anche impedire la rilevazione dell’exfiltrazione di dati tramite tunneling DNS, una tecnica che codifica informazioni nelle richieste stesse. Senza visibilità su questi flussi, i team di sicurezza perdono una capacità di rilevamento che si basava sull’analisi del traffico DNS in chiaro sulla porta 53.
Per mantenere questa visibilità, è necessario centralizzare la risoluzione crittografata verso un risolutore interno compatibile con DoH o DoT. Le risorse di sicurezza su Open Syd dettagliano i meccanismi di indurimento associati. Il filtraggio a livello del firewall deve quindi bloccare le richieste DNS in uscita verso risolutori di terze parti non autorizzati, anche sulla porta 443 utilizzata da DoH.
Porte TCP e filtraggio DNS: costruire una politica di controllo coerente
Il DNS utilizza principalmente la porta UDP 53 per le richieste standard. Quando la risposta supera la dimensione massima di un datagramma UDP (512 byte per impostazione predefinita), il server segnala una troncatura e il client passa alla porta TCP 53 per ottenere la risposta completa. I trasferimenti di zona tra server DNS utilizzano anch’essi TCP 53.
Questa dualità UDP/TCP crea una superficie di attacco specifica. Bloccare TCP 53 in uscita senza discernimento può interrompere la risoluzione di alcuni record voluminosi (DNSSEC, record TXT lunghi). Al contrario, lasciare TCP 53 aperto senza restrizioni facilita il tunneling DNS e i trasferimenti di zona non autorizzati.
Criteri per un filtraggio di rete adeguato
- Consentire TCP 53 solo tra i server DNS interni e i risolutori upstream identificati, mai direttamente dai posti di lavoro
- Limitare le porte sorgente effimere (intervallo 49152-65535 secondo le raccomandazioni IANA) ai soli processi di risoluzione DNS legittimi tramite regole di firewall applicativo
- Monitorare i volumi anomali di richieste DNS in uscita, un indicatore classico di tunneling o comunicazione con un server di comando e controllo (C2)
- Registrare le richieste DNS sul risolutore interno per alimentare il SIEM, compensando così la perdita di visibilità legata alla crittografia end-to-end
Il filtraggio solo per porta non è sufficiente. La combinazione del controllo della porta e dell’analisi del contenuto DNS (ispezione dei nomi di dominio risolti, rilevazione di alta entropia nei sottodomini) offre una copertura più robusta contro le tecniche di evasione.
Obblighi NIS2: cosa cambia la direttiva per la gestione DNS
La direttiva NIS2 (direttiva (UE) 2022/2555) e il suo regolamento di esecuzione 2024/2690 introducono obblighi operativi che riguardano direttamente l’infrastruttura DNS delle entità interessate.
In caso di incidente che influisca sulla disponibilità o integrità del servizio DNS, il dispositivo di notifica impone un avviso iniziale entro 24 ore, seguito da una notifica dettagliata entro 72 ore, e poi da un rapporto finale entro un mese. Questi termini presuppongono una capacità di rilevamento e qualificazione rapida degli incidenti DNS.
Il regolamento copre anche la sicurezza della catena di approvvigionamento, la crittografia e il controllo degli accessi. Per un amministratore di rete, ciò significa che la scelta di un risolutore DNS esterno (servizio cloud, risolutore pubblico) deve integrare una valutazione del fornitore in base a questi criteri. I feedback sul campo divergono su questo punto: alcune organizzazioni ritengono che i grandi risolutori pubblici offrano una resilienza superiore, altre stimano che la dipendenza da un terzo aumenti il rischio normativo.
Segmentazione della rete e DNS: ridurre la superficie di esposizione tramite il routing
La segmentazione della rete limita la propagazione di una compromissione, ma la sua interazione con il DNS è raramente trattata in dettaglio. Una rete segmentata in VLAN con un risolutore DNS unico per tutti i segmenti offre un punto di pivot a un attaccante che compromette questo risolutore.
Distribuire risolutori DNS dedicati per segmento di rete riduce questo rischio. Ogni risolutore risolve solo i nomi necessari per il segmento che serve, e le regole del firewall vietano le richieste DNS inter-segmenti non autorizzate. Questo approccio appesantisce l’amministrazione, ma compartimenta efficacemente i movimenti laterali.
Punti di controllo per un audit DNS
- Verificare che ogni segmento di rete disponga di regole esplicite che autorizzano o rifiutano il traffico DNS verso destinazioni specifiche
- Assicurarsi che i record DNS interni (zone private) non siano accessibili da segmenti esposti a Internet
- Controllare che i trasferimenti di zona (AXFR/IXFR) siano limitati ai soli server secondari autorizzati, con autenticazione TSIG
Il collegamento tra DNS, porte TCP e segmentazione della rete forma un insieme coerente di cui ogni componente compensa i limiti degli altri. Un filtraggio di porta senza governance DNS rimane permeabile, così come un DNS sicuro perde la sua efficacia se il routing della rete consente bypass. La direttiva NIS2 spinge le organizzazioni a formalizzare questo collegamento, ma i dati disponibili non consentono ancora di misurare il livello reale di conformità raggiunto dalle entità interessate.
