ESTADO DE LA DISPONIBILIDAD DEL DNS

Transcripción

1 ESTADO DE LA DISPONIBILIDAD DEL DNS VOLUMEN 1 NÚMERO 1 ABRIL DE 2011 LOS SITIOS WEB Y OTROS SERVICIOS EN LÍNEA SE ENCUENTRAN ENTRE LAS HERRAMIENTAS OPERATIVAS Y GENERADORAS DE INGRESOS MÁS IMPORTANTES PARA LAS EMPRESAS DE TODOS LOS TAMAÑOS Y SECTORES. POR TANTO, LA ATENCIÓN QUE SE PRESTA AL RENDIMIENTO DE LAS REDES ES MAYOR QUE NUNCA. SIN EMBARGO, CUANDO SE TRATA DE SUPERVISAR EL RENDIMIENTO, A MENUDO SE PASA POR ALTO UNO DE LOS ELEMENTOS FUNDAMENTALES DE UNA INFRAESTRUCTURA DE INTERNET FIABLE: EL SISTEMA DE NOMBRES DE DOMINIO (DNS). VERISIGN, AUTORIDAD LÍDER EN INTELIGENCIA DE REDES Y DISPONIBILIDAD, HA ELABORADO ESTE INFORME PARA AYUDAR A ENTENDER Y CUANTIFICAR LA EXTENSIÓN DEL TIEMPO DE ACTIVIDAD DEL DNS EN INTERNET Y LOS EFECTOS POTENCIALES DEL TIEMPO DE INACTIVIDAD. VerisignInc.com

2 ESTADO DE LA DISPONIBILIDAD DEL DNS RESUMEN Un reciente estudio de mercado 1 encargado por Verisign descubrió que el 60% de los encuestados afirma que al menos el 25% de los ingresos de sus empresas se obtienen directamente de su sitio web. Este porcentaje es incluso mayor para las pequeñas y medianas empresas, cuya dependencia de los sitios web para generar ingresos y tener presencia en el mercado es mucho mayor. Para que una empresa opere sin contratiempos, la red debe funcionar sin problemas y, para que esto suceda, su sistema DNS debe estar disponible en todo momento. De acuerdo con Jennifer Pigg 2, analista y vicepresidenta de Yankee Group «las organizaciones dependen cada vez más del comercio electrónico como la principal fuente de ingresos, y funciones empresariales fundamentales como el servicio al cliente, las ventas y el soporte también dependen de la red externa. Se dan cuenta que no pueden permitirse el lujo de que el DNS no esté disponible o de que la información se filtre». En este primer número del informe de Verisign «Estado de la disponibilidad del DNS», vemos que durante el primer trimestre de 2011 la disponibilidad del DNS fue un problema incluso para los sitios de comercio electrónico mejor clasificados. El examen de una muestra mundial de sitios web puso de manifiesto que cuando surgen problemas de disponibilidad, los sitios que alojan sus propios DNS (hoy día estos son representativos de la mayoría de las empresas) se ven mucho más afectados que los que cuentan con proveedores que gestionan el DNS, en particular cuando se examina la disponibilidad mínima. Este informe examina y cuantifica el alcance de los problemas de disponibilidad del DNS en todo el mundo e ilustra los riesgos y los impactos que el tiempo de inactividad puede tener en la generación de ingresos, la continuidad de la empresa, la lealtad de los clientes, etc. «DNS: PUNTO DE FALLO ÚNICO Los nombres de dominio son claves para hacer cualquier cosa en Internet: crear un sitio web, enviar y recibir correo o abrir una tienda en línea. Hoy día existen más de 200 millones de nombres de dominio registrados 3. El DNS, que es el soporte de los dominios, es el motor que hace que Internet sea sencilla y que todos los usuarios del mundo puedan acceder a ella. El DNS garantiza la disponibilidad de los sitios web, el correo electrónico y los sistemas web porque relaciona los nombres de dominio con las direcciones del protocolo de Internet (IP, Internet Protocol). Todos los servidores de Internet tienen una dirección IP representada por una serie de números y letras como, por ejemplo, (IPv4) o 2001:503:A83:0:0:2:30 (IPv6). No obstante, al igual que sucede con los números de teléfono, es difícil recordar esas largas series de números y letras. Gracias al DNS, es posible escribir nombres o marcas comerciales en el navegador para llegar a sitios web y enviar correos electrónicos, en lugar de utilizar una cadena de números y letras. Sirve como puerta de entrada para que usuarios y clientes realicen transacciones en cualquier sitio web. Todo el proceso dura generalmente unas decenas de segundo y los usuarios no lo perciben. Sin embargo, si el DNS falla, los visitantes reciben un mensaje de error y no pueden llegar al sitio web. Con frecuencia, los visitantes se sienten frustrados por el tiempo de inactividad y esto hace que se dirijan a otro sitio, lo que erosiona la lealtad de los clientes y la reputación de la marca. También tiene efectos inmediatos y residuales sobre las ventas y la productividad de los empleados. Adicionalmente, con el crecimiento de los servicios web, cada vez más sitios dependen de proveedores de servicios para conseguir funcionalidades y contenidos adicionales, por ejemplo, las redes sociales o los portales de ventas. Si el DNS no funciona en los sitios de esos proveedores, ello puede suponer un detrimento de las operaciones de las empresas. 2

3 «Los servicios de red son aún más decisivos para casi todas las empresas y estas a menudo olvidan que su presencia en Internet es tan factible y segura como lo sea su infraestructura de DNS», afirma Lydia Leong 4, analista de Gartner. SÍNTESIS DE LA INVESTIGACIÓN Metodología Se encargó a ThousandEyes, una empresa proveedora de análisis de redes y soluciones de planificación, que supervisara la disponibilidad del DNS en una muestra diversa de nombres de dominio (los sitios más importantes según la clasificación de Alexa). Utilizando un modelo de su propiedad, supervisó cada uno de los sitios una vez cada hora durante los últimos siete días de enero, febrero y marzo de El amplio test se llevó a cabo en todos los resolutores del DNS utilizados para supervisar que cumplían con el estándar de la resolución de DNS sin mostrar comportamientos anormales conocidos ni poco fiables. De los sitios de Alexa, se excluyeron ocho porque dejaron de responder durante el test, por lo que se recopilaron los datos de un total de 992 sitios. De estos, 142 sitios (el 14%) utilizaban los servicios de proveedores de alojamiento del DNS muy conocidos y 47 (el 5%) los de renombrados proveedores de contenidos. Se consideró que el DNS no estaba disponible sólo cuando la respuesta del resolutor arrojó uno de los siguientes códigos de error de DNS conocidos: Servfail, Nxdomain, No Mapping o Truncated. Los datos se analizaron clasificando los dominios de muestra en dos categorías: 1) los que utilizaban un DNS propio y 2) los que utilizaban los servicios de alojamiento de DNS de proveedores. A continuación, se calculó la disponibilidad media, mínima y máxima de todos los dominios de cada grupo. Debe destacarse que es difícil probar el rendimiento del DNS dado que tiene muchas piezas móviles. Los resultados pueden depender de cosas tales como si el servidor tiene una entrada en caché, la distancia de un individuo hasta el servidor DNS, la distancia de este con respecto a otros servidores, etc. Para atenuar estos problemas, se realizaron test continuos y se recopilaron datos a intervalos regulares. Results Si bien la disponibilidad media de los dominios y el tiempo de disponibilidad de los sitios web gestionados con un DNS interno parece muy similar a la de los DNS gestionados por terceros, cualquier tiempo de inactividad puede tener un impacto real y duradero en los resultados de las empresas. Los impactos posibles de esta diferencia aparentemente poco significativa se ilustran en la siguiente sección. No obstante, la disparidad es patente cuando se observa la disponibilidad mínima (figura 1). Para este parámetro, los sitios que utilizan sus propios servidores DNS se ven mucho más afectados que los que usan servicios de DNS gestionados. Para realizar una investigación más profunda, se marcó la distribución de la disponibilidad mínima de todos los sitios con DNS gestionado de forma interna (figura 2) y externa (figura 3). Figura 1. Comparación de la disponibilidad mínima del DNS Disponibilidad mínima (media de los dominios) Disponibilidad máxima (media de los dominios) Disponibilidad (media de los dominios y tiempo) Figura 2. Disponibilidad mínima del DNS de sitios que alojan su propio DNS Disponibilidad mín. (0-100%) DNS gestionado internamente DNS alojado por un proveedor Mundial EE.UU. Mundial EE.UU. 90,13 89,17 98,04 97,71 99,98 99,99 99, ,7 99,85 99,85 99, ID del dominio 3

4 Figura 3. Disponibilidad mínima del DNS de sitios que utilizan los servicios de alojamiento de DNS de terceras partes Disponibilidad mín. (0-100%) ID del dominio Las dos figuras anteriores muestran que la disponibilidad del DNS puede llegar a ser cero en los sitios que alojan su propio DNS, comparada con los sitios que utilizan los servicios de terceras partes, que nunca estuvieron por debajo del 50%. Probablemente, esto puede atribuirse a que los proveedores de DNS identificados utilizan el servicio de resolución anycast, lo que se traduce en que siempre hay un servidor disponible en algún lugar para responder a las consultas de DNS. En este caso, los usuarios finales no se ven muy afectados, incluso si fallan o no se puede llegar a algunas de las instancias físicas anycast. Un proveedor utiliza un modelo de resolución híbrido, anycast y unicast, que es la combinación óptima para que las consultas y respuestas del DNS tengan un buen rendimiento y sean fiables. La mayoría de las empresas no tienen los recursos ni los conocimientos especializados para poner en marcha tales modelos en su DNS, lo que podría justificar que exista una discrepancia tan grande. QUÉ SIGNIFICA TODO ESTO? Cualquier tiempo de inactividad tiene un impacto real y duradero en los resultados de las empresas porque las áreas de marketing, el servicio al cliente, la generación de ingresos y otras, dependen cada vez más de la presencia en línea. En el siguiente ejemplo se han utilizado los datos recopilados para este informe para ilustrar lo que puede significar un tiempo de inactividad aparentemente corto. Suponiendo que el tráfico sea uniforme durante 24 horas en todos los sitios web analizados, estos son algunos ejemplos en función de los datos recopilados de disponibilidad media, mínima y máxima. Ejemplo: Mega Online Advertising En el primer trimestre de 2011, Mega Online Advertising obtuvo ingresos procedentes de la publicidad por 796 millones de dólares. Un trimestre tiene 90 días, por lo que la media de ingresos diarios son 8,84 millones, o 100 dólares por segundo. La interrupción del servicio de DNS durante una hora cuesta dólares. Un tiempo de actividad del 99,7%, indicado en este estudio como la disponibilidad media del DNS en la muestra de los dominios gestionados internamente, tendría como consecuencia pérdidas diarias de dólares, equivalentes a 2,4 millones trimestrales. Esta cifra es el doble de lo que habrían sido las pérdidas en un servicio DNS gestionado según los datos de la disponibilidad media de este estudio (99,85%). De acuerdo con estos resultados, sería prudente que Mega Online Advertising considerara identificar un proveedor de servicio DNS con un historial de alta disponibilidad para reducir el riesgo de tener tiempos de inactividad. Si bien este ejemplo se ha simplificado mucho y es de una empresa ficticia, las cifras utilizadas para calcular el impacto se pueden atribuir a empresas reales del sector representado. Teniendo en cuenta que varias de las empresas incluidas en la muestra con servicios DNS gestionados internamente sufrieron interrupciones completas de distinta duración, es fácil apreciar cómo los impactos de la pérdida de ingresos, la insatisfacción de los clientes y la pérdida de productividad pueden sumarse rápidamente y ser catastróficos para las empresas cuyas operaciones dependen de la presencia en la Web y de las redes. Como poco, se convierten en pesadillas para los departamentos de relaciones públicas, pero pueden evitarse con la planificación y el soporte adecuados. CONCLUSIÓN Las empresas tienen tres opciones para elegir cómo gestionar sus necesidades de DNS: Hacerlo todo internamente Confiar en su proveedor de servicios de Internet (ISP) Asociarse con un proveedor de servicios DNS gestionados 4

5 De acuerdo con Yankee Group, la mayoría de las empresas gestionan sus necesidades de DNS internamente o con el ISP. De hecho, muchas usan ambas opciones: gestionan ellos mismos el DNS de la red interna y utilizan al ISP para gestionar los ecosistemas de clientes, asociados de negocio, sitios web, portales y sitios de comercio electrónico externos, basados en Internet. Los datos presentados en este informe respaldan esta conclusión, que revela que casi el 75% de la muestra gestiona su propio DNS. Aún así, Yankee Group estima que más del 85% de las empresas que gestionan internamente el DNS no tienen personal dedicado, sino que lo hacen a medida que lo necesitan, con pocos conocimientos y escasos procesos operativos definidos. Es más, afirma que dado que la gestión del DNS no es la función principal de los ISP, probablemente el rendimiento se verá afectado en las empresas que confían en el ISP para gestionarlo. Los datos recopilados en este informe apoyan esta afirmación al revelar discrepancias significativas entre la disponibilidad del DNS de los sitios web gestionados internamente y la de los gestionados en forma externa. «Tendencias tales como la informática en la nube, los empleados móviles y la proliferación de dispositivos son una tensión adicional para la infraestructura de TI y la gestión del DNS», dice Ben Petro, vicepresidente sénior del grupo Inteligencia de seguridad y disponibilidad de VeriSign. Por tanto, afirma que la mayoría de las empresas luchan porque esos sistemas cuenten con una alta disponibilidad. A medida que las empresas migran sus aplicaciones, almacenamiento y servicios a más alternativas basadas en la nube, la gestión del DNS se vuelve más compleja y abre la puerta a nuevos problemas y retos para la seguridad. Los proveedores de servicios DNS gestionados cuentan con herramientas y con capacidad para contribuir a proteger las redes y a mejorar la disponibilidad y el rendimiento, lo cual, en la mayoría de los casos, las empresas no pueden permitirse duplicar ellas solas. Las empresas deben buscar el equilibrio entre el grado de control que desean ejercer sobre el DNS y los costes y la disponibilidad de los recursos del DNS. La gestión completa del DNS requiere una planificación cuidadosa, el conocimiento de expertos y recursos considerables. Desgraciadamente, la mayoría de las empresas no reconocen las debilidades de su infraestructura de DNS hasta que es demasiado tarde y ya han sufrido pérdidas de productividad o de ingresos. MANAGED DNS DE VERISIGN La respuesta a una gestión eficaz del DNS es utilizar un servicio en la nube, global, distribuido y seguro, como Managed DNS de Verisign, para garantizar la disponibilidad y para que las empresas consigan ahorros de capital y de los costes operativos asociados a la instalación y gestión de la infraestructura de DNS. Managed DNS de Verisign utiliza un exclusivo modelo híbrido de resolución anycast y unicast para ofrecer la combinación óptima de rendimiento y fiabilidad de las consultas y respuestas de DNS, por lo que estos entornos se gestionan de forma más sencilla y flexible. Verisign tiene un largo historial de liderazgo en DNS. Ha gestionado los dominios de nivel superior (TLD, Top Level Domains), incluidos.com,.net,.gov,.edu,.tv,.cc,.jobs y.name, con el mejor récord de tiempo de actividad de cualquier registro y resuelve diariamente una media de 60 mil millones de consultas diarias con un 100% de precisión. Para cumplir con los requisitos excepcionales de operar.com y.net, Verisign desarrolló su propio servidor de nombres llamado ATLAS (Advanced Transaction Lookup and Signaling System), que maneja el tráfico de DNS de forma más rápida y eficiente que cualquier otra opción comercial. Para ofrecer redundancia y velocidad, Verisign opera 17 grandes sitios de resolución en todo el mundo en importantes concentradores de Internet en Norteamérica, Europa y Asia. Además de estos grandes sitios de resolución, Verisign también opera decenas de Regional Internet Resolution Sites (RIRS) y proporciona una resolución de alta velocidad a los países en los que tradicionalmente estos servicios son escasos. Un destacado equipo de expertos en DNS, mitigación de ataques de DDoS e inteligencia de seguridad mantiene, controla y gestiona esta «constelación» de servidores de nombres. Cada sitio de la constelación está correctamente conectado mediante un gran ancho de banda y estrictos controles de seguridad. 5

6 La misma infraestructura y conocimientos que dan soporte a los mayores TLD del mundo se ha ampliado a los clientes gracias a una serie de servicios de Verisign, incluidos Managed DNS, protección contra DDoS y la inteligencia de seguridad idefense. Para obtener mayor información sobre los servicios de Verisign, visite ACERCA DE VERISIGN Verisign es el proveedor de confianza de servicios de infraestructuras de Internet para el mundo digital. Miles de millones de veces al día, las empresas y los consumidores confían en nuestra infraestructura de Internet para comunicarse y entablar relaciones comerciales con plena confianza. 1 Libro blanco de Verisign. «Ataques de denegación de servicio distribuidos: finalmente reciben la atención que merecen», mayo de Yankee Group, «DNS: Risk, Reward and Managed Services», febrero de Verisign, «Resumen de la industria de nombres de dominio», febrero de Nota de prensa de Verisign «Verisign Launches Managed DNS to Help Companies Reduce Costly Downtime and Simplify DNS Management», 11 de agosto de Yankee Group, «DNS: Risk, Reward and Managed Services», febrero de 2011 VerisignInc.com 2011 VeriSign, Inc. Todos los derechos reservados. VERISIGN y otras marcas comerciales, marcas de servicio y diseños son marcas comerciales registradas o sin registrar de VeriSign, Inc. y sus subsidiarias en Estados Unidos y en otros países. Todas las demás marcas comerciales pertenecen a sus respectivos propietarios. 6

7 TIPOS DE ATAQUES CONTRA EL DNS El DNS se desarrolló hace muchos años, cuando la eficiencia era una preocupación mayor que la seguridad. Por tanto, se ha convertido en un objetivo clave de los agresores que secuestran sitios web y explotan las vulnerabilidades para hacerse con información confidencial. Las organizaciones con presencia en la Web están abiertas a ataques contra el DNS y, por tanto, deben saber cómo funcionan y cómo evitarlos. Envenenamiento de la caché del servidor DNS : El envenenamiento de la memoria caché del servidor DNS se produce cuando un actor malintencionado «cambia» la dirección IP de un registro particular en un servidor DNS recurrente enviando una gran cantidad de respuestas ficticias, enmascarado como un servidor autorizado, mientras el servidor recurrente espera la respuesta del servidor autorizado real. De esta forma, engaña al servidor recurrente para que envíe y almacene en la caché la respuesta ficticia a las consultas de los usuarios finales. La instalación completa de las extensiones de seguridad DNS (DNSSEC) protege de este tipo de ataque. Los registradores, los ISP y las empresas tienen que realizar más tareas para tener una instalación completa DNSSEC, aunque la reciente firma de la zona.com por parte de Verisign es un gran paso adelante para resolver esta vulnerabilidad. Ataque reflector amplificado : Los ataques reflectores amplificados contra el DNS son esencialmente ataques de denegación de servicio distribuidos que tienen por objetivo servidores DNS. Una solicitud de DNS normal tiene un tamaño aproximado de 100 bytes, y la respuesta es de bytes. Una respuesta DNS de gran tamaño puede contener desde 500 hasta bytes de información. Los ataques amplificados contra el DNS funcionan utilizando técnicas de spoofing (enmascaramiento de la dirección IP) a la dirección de origen de una gran cantidad de consultas DNS enviadas a servidores DNS válidos. La dirección enmascarada es la del objetivo del ataque. Los servidores DNS legítimos (sin saberlo) participan en el ataque enviando una gran cantidad de respuestas DNS de gran tamaño a la IP víctima. Saturación de recursos o ataque directo : El tipo de ataque más sencillo es buscar una gran red de equipos «zombis» y dirigir un gran flujo de consultas DNS recurrentes hacia los servidores DNS autorizados objeto del ataque. Además de esto, el agresor enmascarará la dirección IP de origen del paquete solicitante para que sea la de un servidor DNS recurrente legítimo muy conocido (que tenga gran cantidad de usuarios finales). El objetivo del ataque no podrá evitar esos paquetes dado que están mezclados con consultas legítimas realizadas al servidor recurrente. Modificación de datos : El envenenamiento de la memoria caché no es la única forma de modificar los datos del DNS. Algunos ataques han tenido éxito redirigiendo tráfico legítimo a sitios «malos» al poner en riesgo la cuenta del registrador de la empresa objetivo y cambiar los registros de su DNS para que apunten a registros DNS fraudulentos. Los datos del DNS también pueden cambiarse directamente en el servidor autorizado respondiendo a las consultas DNS. Ha habido varios casos muy publicitados de ataques contra proveedores de DNS en los que el agresor pudo acceder al sistema de gestión del DNS del proveedor y modificar los datos. Proteger el DNS : Las extensiones de seguridad del DNS están diseñadas para proteger la infraestructura DNS, aplicando firmas digitales a sus datos para autenticar el origen y verificar la integridad mientras circulan por Internet. Si bien es el primer paso importante que se da para proteger la integridad del DNS, para que DNSSEC proteja con eficacia la infraestructura DNS mundial, es esencial que los ISP, los operadores de sitios web y los registradores pongan en marcha DNSSEC en todos los dominios y servidores recurrentes que gestionan. Verisign hace un seguimiento activo del avance de la adopción de DNSSEC en todos los TLD que gestiona. Además, ofrece herramientas para quienes, entre otras cosas, verifican la información DNSSEC en sus sitios web o en otros, tanto si un resolutor DNS está configurado para hacer validaciones DNSSEC como si no lo está. También se puede consultar la cantidad de sitios web de las zonas.com,.net y.edu que cuentan con DNSSEC. Si desea obtener mayor información, visite 7