Es importante diferenciar entre el uso de un DNS público y privado.

• DNS público: los registros IP suelen ser proporcionados a su empresa por su proveedor de servicios de Internet (ISP). Estos registros están disponibles para el público y cualquiera puede acceder a ellos, independientemente del dispositivo que utilice o de la red a la que estén conectados.
  
  
• DNS privado: un DNS privado se diferencia de uno público en que reside detrás de un cortafuegos de la empresa y solo contiene registros de sitios internos. En este caso, el DNS privado está limitado en su ámbito para recordar las direcciones IP de los sitios y servicios internos que se están utilizando y no se puede acceder a ellos fuera de la red privada.

En la mayoría de los casos, los usuarios confiarán en el DNS público al convertir los nombres de host en direcciones IP. He aquí un resumen de alto nivel de cómo funciona ese proceso:

1. Un usuario ingresa un nombre de dominio o una URL (p. ej., www.example.com) en un navegador. Este envía luego una consulta a un servidor DNS local, normalmente proporcionado por un sistema operativo local o por su proveedor de servicios de Internet. Este intermediario entre el cliente y el servidor de nombres DNS se conoce como solucionador recursivo, y está diseñado para solicitar o recibir información del servidor de nombres consultado hacia y desde el cliente.
   
   
2. El solucionador recursivo solicita una consulta, que se pasa a los servidores de nombres raíz que responden con el servidor de nombres de TLD apropiado al que dirigirse, en función de la extensión del nombre de dominio buscado. Los servidores de nombres raíz también están supervisados por la Corporación de Internet para la Asignación de Nombres y Números (ICANN). El servidor de nombres TLD es el que guarda toda la información de las URL que terminan con extensiones comunes como .com, .net, .edu y .gov.
   
   
3. Debido al volumen de búsquedas de DNS que se realizan de forma regular, se utiliza un solucionador recursivo para agrupar las solicitudes de búsqueda en lotes que identifican el DNS autoritativo con la dirección IP correcta en función de la consulta de búsqueda realizada. El servidor de nombres autoritativo suele ser el último paso de una búsqueda de DNS. Una vez que un solucionador recursivo recibe una respuesta del servidor de nombres del TLD, se traslada a un servidor de nombres autoritativo donde se encuentra la dirección IP para devolverla al cliente.

El DNS se ha convertido en un elemento crítico para la funcionalidad básica de Internet, ya que ayuda a los usuarios a navegar fácilmente por un mar de direcciones IP mediante registros de recursos. Sin estos procesos esenciales, sería prácticamente imposible admitir todas las características que utilizamos a diario en línea y limitaría nuestras capacidades a la hora de configurar servicios de correo, redireccionamientos de sitios web o reconocer direcciones web complejas IPv4 e IPv6. Pero lo que hace que las búsquedas de DNS sean tan increíbles es que, independientemente de lo complejo que sea el proceso, todas las consultas de búsqueda y los redireccionamientos del servidor ocurren en cuestión de milisegundos, sin afectar el lado del cliente. 

Muchas organizaciones consideran beneficioso tener sus propios servidores DNS. Este enfoque tiene varias ventajas, pero en última instancia, se reduce a una mayor coherencia y control sobre sus propias propiedades web. Como usted es el administrador del servidor, puede configurar todos los parámetros de sus máquinas, incluidos los procesos de búsqueda, los protocolos de seguridad y las capacidades de rendimiento.

A la hora de decidir qué tipo de servidor DNS utilizar, dos de las consideraciones más importantes son la escalabilidad y el rendimiento que ofrece el servidor. La velocidad con la que un servidor DNS responde a las consultas depende de una serie de variables, incluida la ubicación geográfica del usuario en relación con el servidor, las configuraciones de equilibrio de carga y el filtrado de consultas.

Otra opción que tienen los usuarios es confiar en una solución DDI, una plataforma centralizada que integra y administra todos los servicios de DNS, DHCP e IPAM. DDI ofrece a las empresas la capacidad de simplificar y automatizar la gestión de volúmenes cada vez mayores de direcciones IP, a la vez que aprovisiona e integra adecuadamente otros sistemas de orquestación en la nube.

Si bien la mayoría de los servidores DNS modernos son bastante seguros, los sistemas más antiguos que se diseñaron hace muchos años pueden presentar sus propios retos en materia de seguridad empresarial. He aquí un par de riesgos comunes asociados con el uso de estos servidores DNS.

Secuestro de DNS
 

También conocido como ataque de redireccionamiento, el secuestro de DNS se produce cuando las consultas DNS se resuelven de manera incorrecta y redirigen a los usuarios a sitios web falsos y maliciosos. Esto se consigue instalando malware en las computadoras de los usuarios que toma el control de los routers o secuestra las comunicaciones DNS a medida que se producen.

Envenenamiento de caché
 

El envenenamiento de caché DNS se produce cuando un hacker toma el control de un servidor DNS y compromete las entradas de direcciones IP. A continuación, estas entradas falsas se propagan globalmente a los proveedores de servicios de Internet, donde se almacenan en caché y se utilizan en las búsquedas públicas de DNS.

Una forma de combatir de manera eficaz estos riesgos es mediante el uso de DNSSec. DNSSec utiliza un sistema de nombres de dominio seguro y asigna firmas criptográficas a los registros DNS, lo que garantiza que los registros no puedan ser alterados de su estado original. De forma similar a HTTPS, DNSSec añade una capa adicional de seguridad para acceder a los registros DNS sin necesidad de un cifrado pesado que ralentice el proceso de consulta.

Independientemente del tipo de servicios DNS que decida utilizar, hay algunas mejores prácticas recomendadas que puede seguir para evitar ofrecer una superficie de ataque y minimizar cualquier posible problema de seguridad:

1. Limpieza de DNS: si limpia de manera regular su caché DNS, eliminará todas las entradas de su sistema local. Este proceso es útil para eliminar cualquier registro DNS no válido o comprometido que pueda dirigirlo a sitios maliciosos.
   
   
2. nslookup: nslookup es un programa y un código de comando que pueden utilizar los administradores de servidores para averiguar la dirección IP de un nombre de host especificado. Esto permite a los usuarios protegerse contra ataques de phishing y confirmar bajo demanda la validez de los sitios que visitan.
   
   
3. Prueba de fugas de DNS: hay varios servicios gratuitos disponibles para ejecutar una prueba de fugas de DNS (enlace externo a ibm.com). Cuando utilice VPN seguras o servicios de privacidad, en ocasiones, puede encontrarse con que están mal configurados y se siguen utilizando los servidores DNS predeterminados. Esto significará que cualquiera que supervise el tráfico de la red podrá seguir registrando su actividad con fines maliciosos. La ejecución de una prueba de fuga de DNS le garantizará que dispone de un túnel VPN cerrado y que el tráfico de su red permanece seguro.