--- id: CP-221 slug: dns-rubrica-internet-vulnerabilita lang: it title: Il DNS, la rubrica di Internet description: Il DNS collega il nome di un sito al suo indirizzo, senza che nessuno se ne accorga. Perché gli attaccanti lo prendono di mira e cosa fa un dipendente. canonical_url: https://startbrain.io/cyberpedia/it/articles/dns-rubrica-internet-vulnerabilita/ markdown_url: https://startbrain.io/cyberpedia/it/articles/dns-rubrica-internet-vulnerabilita.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Il DNS, la rubrica di Internet», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/dns-rubrica-internet-vulnerabilita/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-057 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/dns-rubrica-internet-vulnerabilita/ fr: https://startbrain.io/cyberpedia/fr/articles/dns-annuaire-internet-vulnerabilites/ en: https://startbrain.io/cyberpedia/en/articles/dns-internet-phonebook-vulnerabilities/ de: https://startbrain.io/cyberpedia/de/articles/dns-telefonbuch-internet-schwachstellen/ es: https://startbrain.io/cyberpedia/es/articles/dns-agenda-telefonica-internet-vulnerabilidades/ nl: https://startbrain.io/cyberpedia/nl/articles/dns-telefoonboek-internet-kwetsbaarheden/ sources: - "n": 1 title: SP 800-81 Rev. 3, Secure Domain Name System (DNS) Deployment Guide publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/81/r3/final published: "2026-03-19" accessed: "2026-11-03" - "n": 2 title: "ED 19-01: Mitigate DNS Infrastructure Tampering (Closed)" publisher: CISA url: https://www.cisa.gov/news-events/directives/ed-19-01-mitigate-dns-infrastructure-tampering-closed published: "2019-01-22" accessed: "2026-11-03" - "n": 3 title: "Compromise Infrastructure: DNS Server, Sub-technique T1584.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1584/002/ accessed: "2026-11-03" - "n": 4 title: "Application Layer Protocol: DNS, Sub-technique T1071.004 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1071/004/ accessed: "2026-11-03" - "n": 5 title: Dynamic Resolution, Technique T1568 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1568/ accessed: "2026-11-03" --- # Il DNS, la rubrica di Internet Il DNS (Domain Name System) è la rubrica che permette a un browser o a un programma di posta di trovare il servizio che si nasconde dietro un nome di dominio. Il NIST lo descrive come parte integrante di qualsiasi architettura di rete aziendale: un attacco al DNS di un'azienda minaccia tutte le sue operazioni di rete [1]. Per un dipendente questo passaggio è invisibile. L'indirizzo mostrato nel browser può essere corretto e portare comunque altrove, se la rubrica è stata modificata. Questa scheda spiega perché gli attaccanti se ne interessano e cosa resta da fare all'utente, mentre il resto spetta ai team tecnici. ## In 30 secondi - Dove succede: a ogni apertura di un sito o della posta, senza alcun segno visibile, anche su un sito che conosce. - Cosa vuole l'attaccante: dirottare il traffico web e di posta verso la propria infrastruttura per ispezionarlo, oppure nascondere comunicazioni nel traffico DNS [2][4]. - Il riflesso: verificare l'indirizzo mostrato, diffidare dei nomi di dominio scritti in modo errato, segnalare al supporto qualsiasi comportamento insolito e non modificare mai da soli le impostazioni DNS. - Se è già successo: avvisi subito il supporto e indichi il sito, l'ora e ciò che ha digitato. ## Domande dirette ### Che cosa fa, in concreto, il DNS? Associa il nome di un servizio a un indirizzo. La CISA fa un esempio: per aiutare gli utenti a raggiungere un servizio di posta o di collaborazione, un'organizzazione fa puntare un nome del proprio dominio al dominio del suo fornitore [2]. Il dipendente digita o clicca un nome, ed è il DNS a decidere dove approda. ### Perché è un bersaglio? Perché una modifica nel punto giusto colpisce tutti gli utenti di un dominio in una volta sola. La CISA descrive attaccanti che hanno dirottato e intercettato traffico web e di posta [2]. MITRE osserva che, prendendo il controllo di un server DNS, un attaccante può modificare i record DNS e dirottare il traffico di un'organizzazione [3]. ### Vedrò un avviso se il mio traffico viene dirottato? Non necessariamente. Secondo la CISA, l'attaccante che imposta di persona i valori DNS può ottenere certificati di cifratura validi per i nomi dell'organizzazione. Il traffico dirottato può quindi essere decifrato e, poiché il certificato è valido per il dominio, l'utente non riceve alcun avviso di errore [2]. ### Posso cambiare io stesso i miei DNS per essere più al sicuro? No. Il DNS di un'azienda dipende da più ruoli tecnici, ciascuno con le proprie esigenze di sicurezza [1]. Un'impostazione personale su un dispositivo aziendale esce da questo quadro e può aggirare le protezioni previste dall'azienda. Se un sito è lento o le sembra strano, decide il supporto. ### Il DNS può servire a qualcosa di diverso dal dirottamento? Sì. MITRE descrive il tunneling DNS: i comandi inviati a un sistema compromesso, e spesso anche i loro risultati, sono nascosti nel traffico DNS [4]. Questo protocollo è comune negli ambienti e può essere consentito prima ancora che l'autenticazione sulla rete sia terminata [4]. ## Come funziona Un nome di dominio ha valore solo grazie ai record che gli sono associati. La CISA cita ad esempio i record di indirizzo (A), di server di posta (MX) e di server dei nomi (NS) [2]. Il percorso d'attacco descritto dalla CISA si svolge in tre tempi. L'attaccante compromette, o ottiene in altro modo, le credenziali di un account che può modificare i record DNS. Poi sostituisce l'indirizzo legittimo di un servizio con un indirizzo che controlla, e così può esaminare o manipolare il traffico prima di inoltrarlo, se decide di farlo, al vero servizio. Infine può ottenere certificati validi per decifrare questo traffico e leggere i dati inseriti dagli utenti [2]. La CISA aggiunge che questo rischio persiste oltre il periodo del dirottamento [2]. MITRE segnala un'altra possibilità: creare in silenzio sottodomini che puntano a server malevoli, senza che il proprietario del server DNS se ne accorga [3]. Lo stesso testo precisa che gran parte di questa attività si svolge fuori dalla vista dell'organizzazione colpita, il che rende difficile individuarla [3]. Il DNS serve anche da canale di comando. Nella tecnica del beaconing DNS, i comandi passano attraverso richieste DNS, in record di tipo TXT o A. Questi beacon sono difficili da individuare perché comunicano raramente con i dispositivi infetti, e per questo si perdono nel traffico normale [4]. La risoluzione dinamica, invece, permette a un software malevolo di modificare il nome di dominio, l'indirizzo IP o la porta che utilizza [5]. ## Cosa fa Lei - Legga l'indirizzo mostrato prima di inserire una password o dei dati. Lo confronti lettera per lettera con l'indirizzo abituale: un nome di dominio simile, con un errore di battitura, porta a un altro sito. - Non si fidi dell'assenza di avvisi del browser. Un certificato valido non prova che il dirottamento non sia avvenuto [2]. - Apra i suoi servizi dai preferiti o dall'indirizzo ufficiale comunicato dall'azienda, anziché da un link ricevuto. - Segnali al supporto qualsiasi comportamento insolito: una pagina di accesso inattesa, una posta che si comporta in modo diverso, un sito noto che si presenta in modo diverso. - Non modifichi le impostazioni DNS del suo dispositivo né del router dell'ufficio. ## Le trappole Prima trappola: credere che basti un indirizzo corretto. Negli attacchi descritti dalla CISA, a essere modificata è la rubrica, non l'indirizzo che l'utente digita [2]. Seconda trappola: pensare che l'argomento riguardi solo gli informatici. L'attacco comincia dalle credenziali: la CISA ha imposto alle agenzie federali dell'esecutivo statunitense di cambiare le password degli account in grado di modificare il DNS e di aggiungere l'autenticazione a più fattori [2]. Raccomanda fattori resistenti al phishing e sconsiglia l'autenticazione via SMS [2]. Un dipendente che gestisce un nome di dominio o un account presso un fornitore di hosting DNS è direttamente interessato. Terza trappola: supporre che il fornitore sia sempre al riparo. MITRE colloca la compromissione di server DNS di terzi tra le tecniche degli attaccanti, che in questo modo evitano di allestire server propri [3]. Servizi di DNS dinamico, come DuckDNS, sono stati usati dal gruppo APT-C-36 per dirottare le vittime verso siti o repository che ospitavano software malevolo [5]. Un nome di dominio sconosciuto non è quindi un indizio di fiducia, qualunque sia il suo aspetto. ## Casi reali ### Gennaio 2019: la direttiva di emergenza della CISA Il 22 gennaio 2019 la CISA ha pubblicato la direttiva di emergenza ED 19-01, "Mitigate DNS Infrastructure Tampering" [2]. Indicava di seguire una serie di incidenti di manipolazione dell'infrastruttura DNS e di sapere che diversi domini di agenzie dell'esecutivo statunitense erano colpiti [2]. Imponeva alle agenzie quattro azioni. Le prime tre, da svolgere entro 10 giorni lavorativi, erano verificare i record DNS pubblici, cambiare le password degli account interessati e aggiungere l'autenticazione a più fattori [2]. Per la quarta, la CISA iniziava entro 10 giorni lavorativi a consegnare i nuovi certificati ai registri di trasparenza dei certificati, e le agenzie dovevano monitorarli appena ricevuti [2]. Il testo della CISA indica oggi che essa ha concluso che l'obiettivo della direttiva era raggiunto e l'ha chiusa [2]. ### 2019: la campagna Sea Turtle MITRE attribuisce al gruppo Sea Turtle la modifica di elementi dei server dei nomi (NS) per rinviare a server DNS che controllava, in modo da fornire le risposte a tutte le richieste DNS [3]. Tra i riferimenti di MITRE figura un'analisi di Cisco Talos del 17 aprile 2019, "Sea Turtle: DNS Hijacking Abuses Trust In Core Internet Service", seguita da una seconda del 9 luglio 2019 [3]. Le fonti del dossier non dettagliano le vittime di questa campagna. ## Per i team tecnici La guida NIST SP 800-81 Rev. 3, pubblicata a marzo 2026, sostituisce la versione del 2013 [1]. Fornisce raccomandazioni di implementazione per mettere in sicurezza il protocollo e l'infrastruttura DNS, limitare gli errori di configurazione e aggiungere uno strato di sicurezza di rete [1]. Tra le sue parole chiave figurano DNSSEC, DNS cifrato, DNS protettivo e registrazione dei log DNS [1]. La direttiva della CISA ricorda anche il monitoraggio dei certificati emessi e l'inventario dei domini gestiti [2]. ## Fonti 1. NIST, «SP 800-81 Rev. 3, Secure Domain Name System (DNS) Deployment Guide», 19 marzo 2026. https://csrc.nist.gov/pubs/sp/800/81/r3/final (consultato il 3 novembre 2026) 2. CISA, «ED 19-01: Mitigate DNS Infrastructure Tampering (Closed)», 22 gennaio 2019. https://www.cisa.gov/news-events/directives/ed-19-01-mitigate-dns-infrastructure-tampering-closed (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Compromise Infrastructure: DNS Server, Sub-technique T1584.002 - Enterprise». https://attack.mitre.org/techniques/T1584/002/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Application Layer Protocol: DNS, Sub-technique T1071.004 - Enterprise». https://attack.mitre.org/techniques/T1071/004/ (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Dynamic Resolution, Technique T1568 - Enterprise». https://attack.mitre.org/techniques/T1568/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/dns-rubrica-internet-vulnerabilita/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.