Il DNS

A che servono: Risolvono un nome simbolico (FQDN) nel corrispondente indirizzo IP numerico (record A a 32 bit per IPv4; record AAAA a 128 bit per IPv6).

Esempio di sintassi:

webserver.example.com.  3600  IN  A     198.51.100.25
webserver.example.com.  3600  IN  AAAA  2001:db8:85a3::8a2e:370:7334

Cosa verificare in audit:

• Verificare che nessun sottodominio punti a subnet private (RFC 1918 come 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) o interfacce di loopback (127.0.0.1), a meno che non si tratti di reti interne isolate.
• Controllare l'allineamento con i record AAAA per garantire piena compatibilità dual-stack IPv6.

A che serve: Crea un alias simbolico da un hostname verso il suo vero nome canonico (un altro FQDN). Consente di reindirizzare servizi senza dover duplicare o gestire più indirizzi IP statici.

Esempio di sintassi:

blog.example.com.   1800  IN  CNAME  example.github.io.

Cosa verificare in audit (Regola aurea RFC 1912 & Takeover):

• Violazione CNAME Apex: Se per un nome esiste un record CNAME, non può coesistere nessun altro record con lo stesso nome. Pertanto, è vietato inserire un CNAME sulla radice della zona (es. su example.com.), poiché sulla radice devono obbligatoriamente coesistere i record SOA e NS.
• Dangling CNAME: Se il servizio cloud di destinazione (es. AWS S3, Heroku, Azure, GitHub Pages) viene disattivato ma il record CNAME rimane attivo nel DNS, un attaccante può registrare quell'identificativo sul provider cloud e impersonare legittimamente il sottodominio aziendale (Subdomain Takeover).

A che serve: Indica quali server DNS sono autoritativi per la gestione della zona, ovvero quali macchine custodiscono il database originale dei record e rispondono con autorità ai client.

Esempio di sintassi:

example.com.    86400  IN  NS  ns1.dnsprovider.net.
example.com.    86400  IN  NS  ns2.dnsprovider.net.

Cosa verificare in audit:

• Ridondanza minima: Devono esistere almeno due server autoritativi indipendenti.
• Diversificazione di rete: Devono trovarsi su prefissi di routing (/24 IPv4) e Autonomous System (AS) differenti per resistere a incidenti infrastrutturali o blackout di connettività.
• Lame Delegation: Verificare che i server indicati nei record NS rispondano effettivamente come autoritativi per quella zona (flag AA attivo), altrimenti le query andranno incontro a ritardi o fallimenti casuali.

A che serve: Rappresenta il primo record assoluto di qualsiasi file di zona autoritativo. Fornisce l'identificatore del server primario, l'indirizzo email del responsabile tecnico e i parametri temporali di replicazione tra Primary e Secondary DNS.

Esempio di sintassi:

example.com.  86400  IN  SOA  ns1.example.com. admin.example.com. (
                              2026091901 ; Serial (formato YYYYMMDDnn)
                              7200       ; Refresh (intervallo controllo modifiche)
                              3600       ; Retry (tentativo in caso di errore)
                              1209600    ; Expire (tempo limite di validità dati secondari)
                              300        ; Minimum TTL (Negative Caching TTL)
                              )

Cosa verificare in audit:

• Serial Number: Deve seguire una convenzione coerente (consigliato AAAAMMGGnn) e incrementarsi a ogni modifica; in caso contrario, i server secondari non sincronizzeranno mai gli aggiornamenti di zona.
• Negative Cache TTL (Minimum): Stabilisce per quanti secondi i resolver intermedi memorizzano l'errore NXDOMAIN (dominio/host inesistente). Valori troppo elevati prolungano il disservizio durante la creazione di nuovi host.

A che serve: Definisce i mail server SMTP preposti alla ricezione dei messaggi indirizzati agli utenti del dominio (es. per recapitare posta a user@example.com).

Esempio di sintassi:

example.com.  3600  IN  MX  10 aspmx.l.google.com.
example.com.  3600  IN  MX  20 alt1.aspmx.l.google.com.

Cosa verificare in audit:

• Priorità metrica: Il numero intero che precede l'hostname indica la priorità (valore numerico più basso = priorità più alta). I mail server mittenti tenteranno sempre di contattare prima la priorità 10, passando a 20 solo in caso di irraggiungibilità.
• Target FQDN: Il record MX deve puntare esclusivamente a un record A o AAAA. Puntare un MX a un record CNAME viola esplicitamente la RFC 2181 e causa il rigetto o il loop delle email da parte dei Relay SMTP conformi.

A che serve: Inizialmente concepito per associare commenti leggibili dall'uomo, è divenuto il canale d'elezione per inserire metadati crittografici, token di proprietà del dominio e policy di sicurezza antispam per la posta elettronica.

Sottotipi fondamentali da esaminare in un audit:

• SPF (Sender Policy Framework): Pubblicato sul dominio radice, esprime quali host o indirizzi IP hanno facoltà di emettere posta.

  example.com.  3600  IN  TXT  "v=spf1 ip4:198.51.100.10 include:_spf.google.com -all"

• DKIM (DomainKeys Identified Mail): Pubblicato su un sottodominio selettore (selettore._domainkey.dominio.tld), espone la chiave crittografica pubblica per validare le firme digitali apposte alle email.

  google._domainkey.example.com.  3600  IN  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQE..."

• DMARC: Pubblicato su _dmarc.dominio.tld, definisce la policy di enforcement (rigetto o quarantena) applicata dai server terzi se SPF o DKIM falliscono.

  _dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=reject; rua=mailto:reports@example.com"

A che serve: Esegue la risoluzione inversa, convertendo un indirizzo IP numerico nel rispettivo nome di dominio. Risiede nelle zone speciali in-addr.arpa (per IPv4) e ip6.arpa (per IPv6), dove l'indirizzo IP viene scritto a blocchi ottetto invertiti.

Esempio di sintassi:

# Per l'IP 198.51.100.25:
25.100.51.198.in-addr.arpa.  3600  IN  PTR  mail.example.com.

Cosa verificare in audit (FCrDNS - Forward-Confirmed reverse DNS):

• I server SMTP che inviano email nel mondo devono possedere un record PTR valido che corrisponda al nome con cui si presentano nel comando EHLO/HELO.
• L'host indicato nel record PTR deve a sua volta risolvere (tramite record A) verso lo stesso identico IP di partenza. In assenza di corrispondenza bidirezionale, i maggiori provider (Gmail, Outlook, Yahoo) bocciano la connessione SMTP.

A che serve: Definito nella RFC 6844, specifica quali Certification Authority (CA) sono autorizzate a emettere certificati TLS/SSL per conto del dominio.

Esempio di sintassi:

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 iodef "mailto:security@example.com"

Cosa verificare in audit:

• In assenza di record CAA, qualsiasi CA riconosciuta a livello globale può rilasciare certificati validi per il dominio.
• La presenza del tag issue delimita espressamente le sole CA fidate, mentre il tag iodef notifica gli amministratori in caso di richieste di certificazione fraudolente o anomale.

A che serve: Definisce porta di ascolto, protocollo di trasporto e peso relativo di uno specifico servizio applicativo di rete (es. VoIP SIP, XMPP, Microsoft Active Directory / LDAP).

Esempio di sintassi:

# _servizio._protocollo.dominio.  TTL  IN  SRV  [Priority] [Weight] [Port] [Target]
_sip._tcp.example.com.             3600 IN  SRV   10         60       5060   sipserver.example.com.

Cosa verificare in audit:

• Garantire che le porte indicate corrispondano a servizi effettivamente attivi e sicuri.
• Verificare che il Target finale sia un FQDN canonico (Record A/AAAA) e mai un CNAME.

Disponibile all'indirizzo: https://toolbox.googleapps.com/apps/dig/

Vantaggi didattici e operativi:

• Assenza di bias locali: Interroga direttamente i resolver mondiali 8.8.8.8 e 8.8.4.4, neutralizzando server proxy scolastici, blocchi firewall o cache DNS dell'OS locale.
• Filtri immediati con un clic: Dispone di pulsanti preconfigurati per ciascun tipo di record: ANY, A, AAAA, CNAME, MX, NS, PTR, SOA, SRV, TXT, CAA.
• Trasparenza del raw output: Restituisce il payload originario completo generato da BIND/Unbound, comprensivo di Header Flags, Question Section, Answer Section e Authority Section.