O DNS em ataques e defesa

O DNS ocupa um lugar tão inicial em toda conexão que aparece nos dois lados da segurança: atacantes contam com a forma como os nomes de domínio são escolhidos e resolvidos, e defensores usam o mesmo sistema para bloquear destinos já conhecidos como maliciosos. Três usos do DNS merecem ser entendidos por conta própria.

Phishing e domínios parecidos

Um site de phishing não precisa quebrar o DNS; só precisa de um nome de domínio parecido o suficiente para enganar um leitor apressado. A agência americana de segurança cibernética e de infraestrutura, a CISA, descreve exatamente esse padrão: “sites maliciosos podem parecer idênticos a um site legítimo, mas a URL pode usar uma variação na grafia ou um domínio diferente (por exemplo, .com em vez de .net)”. A CISA também recomenda verificar para onde um link realmente aponta antes de confiar nele: “se você passar o cursor sobre qualquer link no corpo do e-mail, e os links não corresponderem ao texto que aparece ao passar o cursor sobre eles, o link pode estar falsificado”.

Bloqueio por DNS

Como um dispositivo consulta um resolvedor antes mesmo de conseguir alcançar um site, quem controla esse resolvedor pode impedir silenciosamente que a conexão sequer comece. A Electronic Frontier Foundation explica o mecanismo claramente: “um ISP pode programar seu resolvedor de DNS para dar uma resposta incorreta, ou nenhuma resposta, sempre que um usuário tenta consultar a localização de um site ou serviço bloqueado”. Trocar para um resolvedor que responda honestamente pode restaurar o acesso, e usar DNS criptografado (a aula anterior) acrescenta outra camada, já que isso pode “impedir que qualquer agente de rede veja (e filtre) seu tráfego de DNS”. A EFF também aponta os limites dessa abordagem: “se você está usando algum dos serviços populares de DNS criptografado, como 1.1.1.1 ou 8.8.8.8, saiba que governos podem mirar esses endpoints” diretamente.

Tunelamento de DNS

O tráfego de DNS é tão rotineiramente permitido através de firewalls que pode ser usado de forma indevida como um canal próprio. O MITRE ATT&CK, o catálogo amplamente usado de técnicas reais de atacantes, descreve isso como tunelamento de DNS: “adversários podem abusar do DNS para se comunicar com sistemas sob seu controle dentro de uma rede vítima, ao mesmo tempo imitando tráfego normal e esperado”. Na prática, isso significa que comandos ou dados roubados são codificados em consultas e respostas de DNS, que passam despercebidos entre as buscas legítimas que todo dispositivo faz constantemente. É uma técnica embutida em um protocolo comum e essencial, o que é parte do motivo pelo qual é difícil para uma rede bloquear por completo.

Escolhendo um resolvedor

Não existe um único resolvedor que seja simplesmente “seguro”: toda escolha move a visibilidade para algum lugar. A Cloudflare observa que seu próprio resolvedor público, 1.1.1.1, “oferece suporte tanto a DoT quanto a DoH”, e outros resolvedores públicos oferecem as mesmas opções criptografadas; qualquer que você escolha, esse operador se torna a parte que vê suas buscas, como descreveu a aula anterior sobre visibilidade. Um resolvedor que também bloqueia domínios conhecidos como maliciosos pode impedir que uma busca chegue a um domínio confirmado de phishing ou ataque, mas é um filtro, não uma garantia de que todo domínio perigoso estará em sua lista.

Nada disso equivale a uma promessa de que uma única configuração torna um dispositivo seguro: o DNS é uma camada entre muitas, e atacantes determinados e bem equipados se adaptam a qualquer defesa isolada. Quem enfrenta uma ameaça específica e séria — um jornalista, um ativista, alguém sob vigilância direcionada — é mais bem atendido por ajuda especializada do que por uma lista de verificação. A Linha de Ajuda de Segurança Digital da Access Now oferece assistência técnica gratuita e direta a pessoas e organizações em risco, e a Freedom of the Press Foundation apoia jornalistas com orientação semelhante de segurança digital.