Aggiornamento NIST sul DNS: cosa significa per la tua organizzazione

Sintesi esecutiva: Il 19 marzo 2026, NIST ha pubblicato la SP 800-81 Revisione 3, il primo aggiornamento delle sue linee guida sulla sicurezza DNS dal 2013. Il nuovo framework considera il DNS come un vero e proprio livello di enforcement della sicurezza, non un semplice tassello di fondo. Per qualsiasi organizzazione che utilizza DMARC, SPF o DKIM, questo è direttamente rilevante: ciascuno di questi protocolli dipende dall’integrità del DNS per funzionare.

Punti chiave:

• NIST ora indica formalmente il DNS come punto di enforcement delle policy all’interno di architetture zero-trust, non solo come servizio di risoluzione.
• I record CNAME sospesi e le deleghe non valide sono individuati come vettori di attacco ad alto rischio che consentono l’acquisizione di sottodomini e l’impersonificazione tramite email.
• I protocolli DNS cifrati (DoT, DoH, DoQ) vengono trattati dettagliatamente per la prima volta, con avvertimenti su applicazioni che aggirano i controlli DNS aziendali.
• Le raccomandazioni crittografiche per DNSSEC si orientano verso ECDSA ed Ed25519, con finestre di validità delle firme più brevi, tra cinque e sette giorni.

L’ultima volta che NIST ha aggiornato le sue linee guida sulla sicurezza DNS era il 2013. Era prima che il DNS cifrato diventasse la norma, prima che SubdoMailing mostrasse come i record sospesi potessero essere sfruttati su larga scala e prima che lo zero-trust diventasse qualcosa da implementare realmente e non solo un concetto di cui parlare.

SP 800-81r3, pubblicato il 19 marzo 2026, riscrive il manuale. La versione precedente trattava il DNS come una componente da configurare una volta e dimenticare. La nuova versione lo considera un controllo di sicurezza di prima linea che dovrebbe bloccare minacce, alimentare il tuo SIEM e venire sottoposto ad audit come avviene con le regole del firewall.

Questo cambiamento interessa chiunque lavori sull’autenticazione delle email. DMARC, SPF e DKIM risiedono tutti nel DNS. Se il tuo DNS non è sicuro, anche la tua autenticazione email si basa su fondamenta instabili.

Il cambiamento concettuale più importante nelle nuove linee guida è il riconoscimento ufficiale del Protective DNS (PDNS). Questo significa risolutori DNS che non si limitano a rispondere alle richieste, ma le filtrano attivamente, bloccando domini noti come dannosi, loggando le richieste per fini forensi e condividendo intelligence con il tuo stack di sicurezza più ampio.

NIST consiglia un deployment ibrido: servizi di sicurezza DNS in cloud per la scalabilità combinati con firewall DNS on-premises per garantire resilienza. E soprattutto, le linee guida sottolineano che i log DNS non devono restare isolati: devono essere correlati con le piattaforme SIEM e i sistemi di asset tracking, per poter collegare richieste sospette a dispositivi e utenti specifici.

Questo è in linea con quanto vediamo da Red Sift. Il DNS non è solo dove risiedono i tuoi record. È anche il luogo dove le configurazioni errate, i sottodomini abbandonati e gli SPF orfani creano quelle superfici di attacco che i criminali informatici sfruttano.

Una delle novità più rilevanti nella SP 800-81r3 è la menzione esplicita dei record CNAME sospesi e delle deleghe non valide come rischi di livello aziendale. Sono voci DNS che puntano a servizi non più esistenti, e rappresentano proprio quel tipo di vulnerabilità contro cui il semplice enforcement di DMARC non offre protezione.

Abbiamo visto questo scenario su larga scala a febbraio 2024 con SubdoMailing. Gli attaccanti hanno preso il controllo di sottodomini abbandonati e inviato milioni di email fraudolente che superavano i controlli SPF e DMARC. I domini avevano policy p=reject attive. Non è bastato. L’attacco si è svolto a livello DNS, al di sotto della soglia a cui agiscono i protocolli d’autenticazione.

Ecco come si verifica di solito: un sottodominio viene creato per una campagna marketing e punta tramite CNAME a un servizio di hosting terzo. Finita la campagna, l’account hosting viene cancellato, ma il record DNS resta. Un attaccante può reclamare quello spazio di hosting, prendere il controllo del sottodominio e inviare email che superano i controlli di autenticazione, perché il DNS continua a riconoscere come valido quel sottodominio.

NIST ora raccomanda il monitoraggio continuo delle registrazioni di dominio, audit regolari delle configurazioni DNS e il mantenimento del controllo sui domini ritirati. Fortunatamente, DNS Guardian si basa sul motore di discovery proprietario di Red Sift. Questo motore traccia automaticamente ogni dominio in report su OnDMARC e svolge una scoperta continua dei sottodomini su scala internet. Usa una combinazione di lookup DNS in tempo reale, monitoraggio della trasparenza dei certificati, dati DNS passivi e tecniche di crawling personalizzate per costruire una mappa sempre aggiornata della tua impronta DNS, includendo anche sottodomini rischiosi o dimenticati di cui potresti non essere nemmeno consapevole.

Le linee guida coprono in dettaglio per la prima volta DNS over TLS (DoT), DNS over HTTPS (DoH) e DNS over QUIC (DoQ). Questi protocolli impediscono l’intercettazione delle richieste DNS, migliorando la privacy. Ma significano anche che i tradizionali strumenti di ispezione di rete non possono più vedere il traffico DNS.

Il rischio pratico è che browser e applicazioni possono aggirare del tutto i controlli DNS aziendali usando i loro risolutori cifrati. Il traffico DoH passa sulla porta 443 (HTTPS standard), rendendo molto difficile individuarlo. NIST suggerisce di bloccare il traffico DoT non autorizzato sulla porta 853, di limitare gli endpoint DoH tramite regole di firewall e di imporre le configurazioni attraverso la gestione dei dispositivi.

Per i team di sicurezza email, il DNS cifrato rappresenta una sfida a doppio taglio: la privacy migliora, ma aumenta la complessità nel mantenere visibilità su ciò che avviene nell’infrastruttura DNS.

NIST aggiorna le sue raccomandazioni DNSSEC privilegiando ECDSA (P-256, P-384) e gli algoritmi Edwards-curve (Ed25519, Ed448) rispetto ai metodi RSA più vecchi. Chiavi più piccole significano risposte DNS più leggere, semplificando la gestione dei problemi di frammentazione dei pacchetti che storicamente hanno ostacolato l’adozione di DNSSEC.

Cambia anche la gestione operativa: la validità delle firme dovrebbe essere di cinque-sette giorni (non settimane o mesi). Le chiavi di firma dovrebbero ruotare ogni uno-tre anni. Le chiavi private dovrebbero risiedere in hardware security module, quando possibile.

Curiosità: anche se la crittografia post-quantum sta diventando una preoccupazione crescente nella cybersecurity, NIST dichiara che gli standard DNSSEC resistenti al quantum non sono ancora pronti. Le organizzazioni dovrebbero prepararsi alla migrazione, ma al momento non c’è nulla da implementare.