NIST actualizează ghidul de securitate DNS după mai bine de un deceniu

Institutul Național de Standarde și Tehnologie (NIST) a publicat o actualizare critică a ghidului său privind securitatea sistemului de nume de domeniu (DNS), marcând prima revizuire majoră a acestor standarde din ultimii 12 ani.

Noua publicație, identificată ca SP 800-81r3 (Secure Domain Name System Deployment Guide), înlocuiește versiunea din 2013 și introduce recomandări esențiale pentru protejarea infrastructurii DNS, care stă la baza aproape oricărei conexiuni de rețea moderne.

Documentul vizează trei piloni principali: utilizarea DNS ca instrument de securitate activă, securizarea protocolului prin criptare și protejarea infrastructurii fizice sau virtuale care rulează aceste servicii.

O noutate majoră adusă de NIST este accentul pe „Protective DNS” (PDNS). Această tehnologie permite organizațiilor să analizeze interogările în timp real și să blocheze automat accesul către domenii malițioase, utilizând DNS-ul ca un punct de control și aplicare a politicilor de securitate (enforcement point).

Ghidul acordă o atenție deosebită implementării protocoalelor de criptare, precum DNS over TLS (DoT), DNS over HTTPS (DoH) și DNS over QUIC (DoQ). Acestea au rolul de a preveni interceptarea traficului între utilizatori și servere, însă NIST avertizează că administratorii trebuie să configureze corect endpoint-urile pentru a preveni ocolirea mecanismelor locale de monitorizare.

În ceea ce privește DNSSEC (extensiile de securitate DNS), recomandările au fost actualizate pentru a include algoritmi criptografici moderni, precum cei bazați pe curbe eliptice (ECDSA și Edwards-curve). Aceștia oferă o securitate superioară cu semnături de dimensiuni reduse, optimizând astfel performanța rețelei.

NIST recomandă administratorilor de sistem și directorilor de securitate cibernetică să revizuiască imediat configurațiile actuale și să adopte noile standarde pentru a preveni riscuri precum „dangling CNAME” (înregistrări orfane) sau deturnarea domeniilor prin delegări invalide.

Implementarea acestor măsuri este considerată vitală, având în vedere că serverele DNS au devenit ținte primare pentru atacurile de tip botnet și exfiltrare de date.

Sursă: https://www.helpnetsecurity.com/2026/03/23/nist-dns-security-guide-sp-800-81r3/