RAPPORTO SULLO STATO DELLA DISPONIBILITÀ DNS

RAPPORTO SULLO STATO DELLA DISPONIBILITÀ DNS VOLUME 1 NUMERO 1 APRILE 2011 I SITI WEB E ALTRI SERVIZI ONLINE SONO FRA I PIÙ IMPORTANTI STRUMENTI OPERATIVI E REMUNERATIVI PER LE IMPRESE E I SETTORI INDUSTRIALI DI TUTTE LE DIMENSIONI. È PER QUESTA RAGIONE CHE LE PRESTAZIONI DI RETE SONO OGGI TANTO IMPORTANTI. EPPURE I DNS, TRA GLI ELEMENTI DI MAGGIORE CRITICITÀ PER INFRASTRUTTURE INTERNET AFFIDABILI, NON GODONO DI SUFFICIENTE ATTENZIONE A LIVELLO DI MONITORAGGIO DELLE PERFORMANCE. COME AZIENDA LEADER NEL CAMPO DELLA NETWORK INTELLIGENCE E DELLA DISPONIBILITÀ, VERISIGN HA REALIZZATO IL PRESENTE RAPPORTO PER COMPRENDERE MEGLIO E QUANTIFICARE L EFFETTIVA DISPONIBILITÀ DNS IN INTERNET E IL POTENZIALE IMPATTO DEL DOWNTIME. VerisignInc.com

RAPPORTO SULLO STATO DELLA DISPONIBILITÀ DNS SINTESI Secondo una recente indagine di mercato i commissionata da Verisign, il 60% degli intervistati ritiene che almeno un quarto dei ricavi della propria azienda sia ottenuto direttamente tramite il sito web aziendale. Questo dato è addirittura superiore per le piccole e medie imprese, che puntano molto sul sito web per generare ricavi e garantirsi una forte presenza commerciale. Perché le attività di un impresa vadano bene è essenziale che la sua rete sia efficiente, e perché ciò avvenga i suoi DNS devono essere sempre disponibili. Secondo Jennifer Pigg, analista e vicepresidente di Yankee Group ii : Le aziende puntano sempre più sull ecommerce come strumento primario per la generazione dei ricavi, mentre dipendono dalla loro rete esterna per funzioni aziendali di importanza critica quali il servizio clienti, le vendite e l assistenza. Le imprese sanno quindi che devono assolutamente evitare che i loro DNS non siano disponibili o vadano soggetti a violazioni della sicurezza. Eppure, questo numero inaugurale del Rapporto sullo stato della disponibilità DNS di Verisign indica che nel primo trimestre del 2011 la disponibilità DNS è stata un problema anche per i siti di commercio elettronico più importanti al mondo. Il nostro esame di un campione globale di siti web rivela che quando si verifica un problema di disponibilità, i siti che hanno in hosting i propri DNS (cioè la condizione odierna della maggior parte delle imprese) subiscono un impatto ben superiore rispetto a quelli che usano fornitori di DNS esterni, in particolare se si prende in esame la disponibilità minima. Questo rapporto esamina e quantifica la diffusione dei problemi di disponibilità DNS a livello globale e illustra rischi e impatti che questo tipo di downtime può avere sulla generazione dei ricavi, la continuità delle attività, la fidelizzazione del cliente, ecc. DNS: SINGOLO PUNTO DI GUASTO Il nome di dominio è la chiave che consente di fare praticamente tutto in Internet: dalla creazione di un sito web all invio e ricezione di e-mail fino all apertura di un negozio online. Oggi i nomi di dominio registrati sono oltre 200 milioni. iii I DNS che supportano tali domini sono il motore che rende facile e accessibile il mondo di Internet per gli utenti di tutto il mondo. Il DNS assicura la disponibilità dei siti web, delle e-mail e dei sistemi web mappando i nomi di dominio in base agli indirizzi IP (Internet Protocol). Ogni server presente su Internet ha un indirizzo IP, rappresentato da una serie di numeri e lettere, per esempio 123.45.67.254 (IPv4) o 2001:503:A83:0:0:2:30 (IPv6). Ma, come per i numeri di telefono, questa lunga serie di cifre e lettere è difficile da ricordare. Il DNS è ciò che ci consente quindi di digitare semplicemente un nome o marchio aziendale nel browser, anziché una stringa di numeri e lettere, per raggiungere un sito web o inviare messaggi di posta elettronica. In pratica il DNS è la porta d accesso ai siti web e consente l ingresso degli utenti e clienti che desiderano operare delle transazioni. L intero processo di norma ha luogo in pochi decimi di secondo ed è trasparente verso l utente finale. Tuttavia, se si verifica un problema di DNS, i visitatori ricevono un messaggio d errore e non riescono ad accedere al sito. Ciò irrita il visitatore e lo spinge a spostarsi su un altro sito, incrinando tanto la reputazione dell azienda quanto il suo livello di fidelizzazione del cliente, e generando un danno immediato e persistente in termini di vendite e di produttività. Inoltre, con la crescita dei servizi web, sempre più siti web dipendono da fornitori di servizi web esterni che garantiscono funzionalità e contenuti aggiuntivi, come nel caso dei social network e/o dei portali di vendita.il cattivo funzionamento dei DNS sui siti di queste terze parti ha un impatto negativo sulle operazioni di business. 2

I servizi che operano tramite la rete sono ormai critici per tutte le imprese, ma queste dimenticano spesso che la loro presenza in Internet è disponibile e sicura solo se altrettanto può dirsi della loro infrastruttura DNS, dichiara l analista di Gartner Lydia Leong. iv PANORAMICA SULLO STUDIO Metodologia ThousandEyes, fornitore di soluzioni di pianificazione e analisi di rete, è stato incaricato di monitorare un ampio campionario di nomi di dominio (i primi 1.000 siti classificati da Alexa) relativamente alla disponibilità DNS. Utilizzando un modello proprietario, l azienda ha monitorato tutti i siti per una volta all ora degli ultimi sette giorni di gennaio, febbraio e marzo 2011. Sono inoltre stati condotti test estensivi su ognuno dei resolver DNS usati per il monitoraggio, al fine di verificare che seguissero gli standard di risoluzione DNS e non manifestassero alcun comportamento anomalo o non affidabile. Dei 1.000 siti indicati da Alexa, otto sono stati esclusi perché hanno smesso di rispondere durante la fase di test, lasciando quindi un totale di 992 siti per la raccolta dei dati. Di questi 992 siti, 142 (14%) ricevevano un servizio DNS da noti fornitori di DNS in hosting, mentre 47 (5%) ricevevano il servizio DNS da noti fornitori di CDN. Il DNS è stato considerano non disponibile solo quando la risposta del resolver era uno dei seguenti codici di errore DNS noti: Servfail, Nxdomain, No Mapping o Truncated. L analisi dei dati è stata condotta tramite classificazione dei domini campione in due categorie: 1) quelli che utilizzavano DNS propri e 2) quelli che usavano fornitori di DNS esterni. Sono state quindi calcolate la disponibilità media, minima e massima in tutti i domini in ogni categoria. Bisogna ricordare che il DNS non è facile da valutare in termini di prestazioni perché è composto da più parti in movimento. I risultati dipendono da variabili quali il fatto che il server abbia o meno una voce nella cache, la distanza a cui si trova un determinato individuo dal server DNS, la distanza a cui si trova il server DNS dagli altri server ecc. Al fine di attenuare l impatto di tali problematiche sono stati condotti test continui e una raccolta dati a intervalli regolari. Risultati Sebbene la disponibilità media di domini e tempi per i siti web con DNS gestiti internamente sembri alquanto vicina a quella dei casi con DNS gestiti da terzi, ogni minimo downtime può avere un impatto reale e duraturo sugli utili aziendali. I potenziali impatti di questa differenza apparentemente contenuta sono illustrati nella sezione successiva. La disparità appare netta quando si esamina la disponibilità minima (figura 1). In base a questa metrica, i siti che utilizzano propri DNS fanno registrare un risultato molto più severo rispetto ai siti che usano un servizio di DNS gestiti. Per indagare meglio questo aspetto, sono state rappresentate in grafico la distribuzione della disponibilità minima per tutti i siti con DNS gestiti internamente (figura 2) e gestiti esternamente (figura 3). Figura 1: Confronto della disponibilità DNS minima Disponibilità minima (media dei domini) Disponibilità massima (media dei domini) Disponibilità (media dei domini e dei tempi) Figura 2: Disponibilità DNS minima dei siti che gestiscono i propri DNS Disponibilità min. (0-100%) 120 100 80 60 40 20 0 DNS gestiti internamente DNS in hosting presso terzi Globale US Globale US 90,13 89,17 98,04 97,71 99,98 99,99 99,99 100 99,7 99,85 99,85 99,94 1 101 201 301 401 501 601 701 801 ID dominio 3

Figura 3: Disponibilità DNS minima dei siti che usano un fornitore di DNS esterno Disponibilità min. (0-100%) 120 100 80 60 40 20 0 1 21 41 61 81 101 121 141 ID dominio Le due figure in alto indicano che la disponibilità DNS può crollare fino allo zero per i siti che gestiscono internamente i propri DNS rispetto ai siti che usano fornitori di DNS terzi, i quali non sono mai scesi sotto il 50%. Questo dato può verosimilmente essere attribuito al fatto che i fornitori di DNS esterni presi in esame utilizzano un servizio di risoluzione anycast, quindi hanno sempre un server disponibile da qualche parte per rispondere alle query DNS. In questo caso, non vi sono grandi problemi per l utente finale anche se qualche istanza anycast fisica non va a buon fine o non è raggiungibile. Un fornitore utilizza un modello ibrido con risoluzione anycast e unicast, il che gli garantisce una combinazione ottimale di prestazioni e affidabilità per le query e le risposte DNS. La maggior parte delle imprese non dispone tuttavia delle risorse e delle competenze necessarie per organizzare sistemi così complessi di gestione interna dei DNS, ragione che può essere alla base di una discrepanza tanto netta. COSA SIGNIFICA TUTTO QUESTO? Considerato che le aziende dipendono sempre più dalla loro presenza online per il marketing, il servizio clienti, la redditività e altro, ecco che un downtime anche di bassa entità ha sempre un impatto reale e duraturo sugli utili dell impresa. L esempio di seguito illustra, sulla base dei dati raccolti per questo rapporto, cosa può significare per un azienda un tempo di downtime apparentemente minimo. Ipotizzando un traffico uniforme per un periodo di 24 ore su tutti i siti web compresi in questo studio, forniamo alcuni esempi basati sui dati raccolti (disponibilità media, minima e massima). Esempio: Mega Online Advertising Nel primo trimestre del 2011 la società Mega Online Advertising ha incassato ricavi pubblicitari per circa 796 milioni di dollari. Nel trimestre vi sono stati 90 giorni nei quali è stata registrata una media di ricavi pubblicitari di 8,84 milioni al giorno, cioè circa 100 dollari al secondo. Un disservizio dei DNS di un ora costerebbe quindi circa 368.519 dollari. Un uptime del 99,70%, indicato in questo studio come la disponibilità DNS media dei domini globali con DNS gestiti internamente, produrrebbe quindi una perdita di circa 26.534 dollari al giorno, ossia di 2.388.033 dollari al trimestre. È il doppio rispetto alla perdita che sarebbe stata generata da un servizio di DNS gestiti, sulla base della disponibilità media (99,85%) indicata dai dati di questo studio. Sulla scorta di questi risultati, Mega Online Advertising avrà maggiori possibilità di ridurre i rischi legati al downtime cercando un fornitore di servizi DNS che possa vantare prestazioni garantite di elevata disponibilità. Sebbene questo esempio sia estremamente semplificato e riferito a una società fittizia, i numeri impiegati per calcolare i possibili impatti economici possono essere applicati anche ad aziende reali del settore. Considerando che nel corso di questo studio diverse aziende fra quelle prese in esame con DNS gestiti internamente hanno subito totali interruzioni dei servizi per intervalli di tempo variabili, è chiaro che l impatto della perdita economica può facimente sommarsi alle conseguenze derivanti dall insoddisfazione del cliente e della produttività persa, assumendo dimensioni catastrofiche per aziende le cui operazioni di business dipendono dalla presenza sul web e dall attività di rete. Questi eventi potenzialmente tragici a livello di immagine si possono però facilmente evitare con una pianificazione e un supporto adeguati. CONCLUSIONE Quando stabiliscono in che modo gestire i propri requisiti DNS, le imprese hanno davanti tre possibili soluzioni: occuparsi di tutto internamente fare affidamento sul proprio ISP (Internet Service Provider) scegliere un fornitore di servizi di DNS gestiti. 4

Secondo uno studio di The Yankee Group, la maggior parte delle imprese gestisce i propri requisiti DNS internamente o tramite il proprio ISP. v Molte aziende, in realtà, fanno entrambe le cose, mantenendo in-house la gestione DNS per quanto concerne la rete interna e utilizzando il proprio ISP per gestire l ecosistema Internet esterno (clienti, partner, siti web, portali aziendali e siti di commercio elettronico). Questo approccio è confermato dai dati illustrati nel presente rapporto, secondo i quali quasi tre quarti delle società analizzate gestiscono autonomamente i propri DNS. Nonostante questo, The Yankee Group stima che oltre l 85% delle imprese che gestiscono i DNS internamente non abbiano un personale dedicato all area DNS, ma li gestiscano in base alle necessità con competenze limitate e con pochi processi operativi realmente definiti. Inoltre, considerato che la gestione DNS non rientra fra le funzioni principali di un ISP, ecco che le prestazioni dei DNS saranno verosimilmente inferiori per coloro che ne affidano la gestione al proprio ISP. I dati raccolti da questo rapporto confermano detta tesi, evidenziando discrepanze significative fra la disponibilità DNS dei siti web con gestione interna o esterna dei DNS. Alcuni tendenze recenti, come il cloud computing, l adozione di forza lavoro mobile e la proliferazione dei dispositivi, aggiungono un ulteriore carico all infrastruttura IT e alla gestione DNS, dichiara Ben Petro, vicepresidente senior del gruppo Network Intelligence and Availability di VeriSign. Ne consegue che aggiunge Ben Petro la maggior parte delle aziende combattono una battaglia quotidiana per garantire l elevata disponibilità dei propri sistemi. Con la graduale migrazione delle aziende verso alternative su base cloud per applicazioni, storage e servizi, la gestione DNS si fa ancora più complicata e apre la porta a nuove problematiche legate alla sicurezza. I fornitori di servizi di DNS gestiti dispongono di strumenti e capacità per garantire sicurezza alla rete, migliorare la disponibilità e le prestazioni che, nella maggior parte dei casi, le imprese non possono permettersi di possedere. Le imprese devono trovare il giusto equilibrio fra il grado di controllo che vorrebbero esercitare sul proprio sistema DNS, il costo e la disponibilità delle risorse DNS. Una gestione DNS completa richiede un attenta pianificazione, ampie competenze e notevoli risorse. Purtroppo la maggior parte delle aziende non sono in grado di localizzare i punti deboli della propria infrastruttura DNS sinché non è troppo tardi per rimediare alla perdita di produttività o ricavi. VERISIGN MANAGED DNS La soluzione per un efficace gestione DNS passa attraverso l uso di un servizio cloud gestito, che sia sicuro e distribuito su base globale, come Verisign Managed DNS. In questo modo è possibile garantire la disponibilità e consentire quindi alle imprese di risparmiare sul capitale e sui costi gestionali legati alla distribuzione e gestione dell infrastruttura DNS. Verisign Managed DNS utilizza un esclusivo modello ibrido di risoluzione anycast e unicast che garantisce una combinazione ottimale di prestazioni e affidabilità alle query e alle risposte DNS, consentendo una gestione più facile e flessibile degli ambienti DNS. Verisign è sempre stata leader nel campo dei DNS. Infatti ha gestito i DNS per i domini di massimo livello (TLD), compresi.com,.net,.gov,.edu,.tv,.cc,.jobs e.name, con i più elevati livelli di uptime di qualunque registro e risolve una media di 60 miliardi di query DNS ogni giorno con un accuratezza del 100%. Per rispondere agli eccezionali requisiti richiesti dai domini.com e.net, Verisign ha sviluppato un suo server di nomi proprietario denominato ATLAS (Advanced Transaction Lookup and Signaling System) che gestisce il traffico DNS in modo molto più rapido ed efficiente rispetto a qualunque altra opzione disponibile in commercio. Per garantire la ridondanza e velocità necessarie, Verisign dispone di 17 grandi siti dedicati alla risoluzione presso importanti hub di Internet in Nord America, Europa e Asia. Oltre a questi grandi siti di risoluzione, Verisign dispone di dozzine di siti più piccoli di risoluzione Internet regionali (RIRS) sparsi in tutto il mondo che forniscono una risoluzione ad alta velocità in paesi tradizionalmente meno serviti. Questa costellazione di server di nomi è mantenuta, monitorata e gestita dai team di Verisign composti dai più grandi esperti di DNS, mitigazione DDoS e security intelligence. Ogni sito di questa costellazione è ben collegato grazie a una banda assai ampia e stretti controlli sulla sicurezza. 5

La stessa infrastruttura e competenza che supporta i più grandi TLD al mondo è stata peraltro estesa anche ai clienti grazie alle suite di servizi di Verisign, compresi Managed DNS, protezione da attacchi DDoS e le informazioni dettagliate sulla sicurezza di idefense. Per ulteriori informazioni sulle suite di servizi di VeriSign, visitare il sito www.verisigninc.com. INFORMAZIONI SU VERISIGN Verisign è il più autorevole fornitore di servizi di infrastruttura Internet per il mercato digitale. Ogni giorno sono miliardi le interazioni delle aziende e dei consumatori che affidano la sicurezza delle loro comunicazioni e transazioni alla sua infrastruttura Internet. i White paper Verisign. Distributed Denial of Service: finalmente il problema è al centro dell attenzione. Maggio 2011. ii Yankee Group. DNS: Risk, Reward and Managed Services. Feb. 2011. iii Verisign Domain Name Industry Brief, febbraio 2011 iv Comunicato stampa Verisign. Verisign Launches Managed DNS to Help Companies Reduce Costly Downtime and Simplify DNS Management. 11 agosto 2010 v Yankee Group. DNS: Risk, Reward and Managed Services. Feb. 2011. VerisignInc.com 2011 VeriSign, Inc. Tutti i diritti riservati. VERISIGN e gli altri marchi, marchi di servizio e immagini sono marchi registrati o non registrati di VeriSign, Inc. e delle sue consociate negli Stati Uniti e in altri paesi. Tutti gli altri marchi sono proprietà dei rispettivi titolari. 6

IL PROFILO DEGLI ATTACCHI DNS Il DNS è un concetto sviluppato molti anni fa quando l efficienza era prioritaria rispetto alla sicurezza. In conseguenza di ciò, il DNS è diventato l obiettivo di chi desidera dirottare i collegamenti ai siti web e creare una varietà di exploit al fine di acquisire informazioni sensibili. Le imprese presenti sul web sono esposte agli attacchi DNS e, pertanto, dovrebbero sapere come funzionano e cosa fare per evitarli. Avvelenamento della cache DNS : Si parla di avvelenamento della cache del DNS quando un soggetto illegittimo cambia l indirizzo IP di un particolare record su un server DNS ricorsivo, inviando una grande quantità di risposte fasulle, cammuffandosi quindi da server autorevole mentre il server ricorsivo è in attesa della risposta dal server vero. Ciò induce il server ricorsivo a inserire nella cache la risposta fasulla alle query degli utenti finali. Con un implementazione completa delle estensioni di sicurezza per i DNS (DNSSEC) è possibile proteggersi da questo tipo di attacchi. Per una piena implementazione del protocollo DNSSEC occorre ancora molto lavoro da parte delle società di registrazione dei domini, degli ISP e delle imprese, tuttavia il recente impegno di Verisign per la gestione della zona.com rappresenta un grande passo in avanti per risolvere la vulnerabilità DNS. Attacco dei DNS con fattore di amplificazione e rifrazione : Gli attacchi ai DNS con un fattore di amplificazione e rifrazione sono fondamentalmente degli attacchi DDoS mirati ai server dei DNS. Una normale richiesta DNS è intorno ai 100 byte, mentre la risposta è nell ordine dei 200-400 byte. Una risposta DNS di ampia entità può contenere da 500 fino a 4.000 byte di informazioni. Gli attacchi con amplificazione funzionano tramite lo spoofing dell indirizzo sorgente di un elevato numero di query DNS inviate a server DNS legittimi. L indirizzo soggetto a spoofing è quello dell obiettivo cui è mirato l attacco. I server DNS legittimi partecipano (inconsapevolmente) all attacco inviando un elevato numero di risposte DNS di grandi dimensioni all IP vittima. Esaurimento delle risorse o attacco diretto : Il tipo di attacco più semplice consiste nel trovare una grande botnet di PC dirottati e indirizzare un enorme quantità di query DNS ricorsive al server DNS autorevole che è obiettivo dell attacco. Chi esegue l attacco, inoltre, opera lo spoofing dell indirizzo IP sorgente del pacchetto che invia la richiesta, fingendo di essere un noto e legittimo server DNS ricorsivo (uno, per esempio, che ha tanti utenti finali). Il target dell attacco non può respingere via firewall i pacchetti in questione, perché essi saranno mischiati ad altre query legittime dello stesso server ricorsivo. Attacco con modifica dei dati : L avvelenamento non è il solo sistema di modifica dei dati DNS. Molti attacchi sono riusciti a ridirigere traffico legittimo verso siti ostili compromettendo l account della società di registrazione cui faceva riferimento l azienda obiettivo dell attacco, cambiando quindi i suoi record DNS in modo da puntare verso record DNS fraudolenti. I dati DNS si possono inoltre modificare in modo diretto sul server DNS autorevole, rispondendo alle query DNS. Vi sono state alcune violazioni rivolte contro fornitori di DNS che hanno avuto ampio risalto mediatico, nelle quali chi attaccava è stato in grado di accedere al sistema di gestione del fornitore DNS e di modificare i dati DNS del target. Proteggere i propri DNS : Il protocollo DNSSEC protegge l infrastruttura DNS applicando firme digitali ai dati DNS, in modo da autenticarne l origine e verificarne l integrità quando questi si spostano in Internet. Benché questo sia un primo passo essenziale per proteggere l integrità dei DNS, affinché il protocollo DNSSEC possa realmente salvaguardare in modo efficace l infrastruttura DNS globale è necessario che gli ISP, gli operatori di siti web e le società di registrazione implementino il protocollo DNSSEC su tutti i domini e server ricorsivi che gestiscono. Verisign verifica proattivamente il progredire dell implementazione DNSSEC su tutti i TLD che gestisce e fornisce strumenti a chiunque desideri fra le altre cose controllare le informazioni DNSSEC sul proprio sito web (o su qualunque altro sito) e verificare se un resolver DNS è configurato o meno per la convalida DNSSEC. È inoltre disponibile il numero dei siti web con abilitazione DNSSEC nelle zone.com,.net e.edu. Per ulteriori informazioni, visitare http://labs.verisigninc.com/tools. 7