DNSSEC voor ISP's

Gezien de toenemende kennis van DNS-bedreigingen en de route die andere internetbeveiligingsinitiatieven zoals Secure Sockets Layer hebben afgelegd, is DNSSEC een prioriteit van de ISP geworden, gedreven door interne vereisten zoals risicobeheer en de behoefte van gebruikers aan een veiligere internetervaring.

Door nu van start te gaan, kunt u uw klanten beter beschermen, uw reputatie voor leiderschap op het gebied van beveiliging voor klanten en internet bekrachtigen en uzelf onderscheiden van concurrenten. Als early adopter (vroege instapper) kunt u mogelijk nog invloed uitoefenen op de ontwikkeling van producten en services en andere initiatieven binnen deze branche, die ondersteuning en rendement bieden aan uw bedrijf.

Voordelen voor proactieve internetaanbieders

Wanneer u deze belangrijke laag proactief toevoegt, doet u het volgende:

• U helpt het risico verkleinen dat uw klanten lopen om slachtoffer worden van cybermisdaad
• U helpt uw merknaam en reputatie op te bouwen en te beschermen
• U behoudt het vertrouwen en de loyaliteit van uw klanten.
• U biedt een veiligere internetervaring aan klanten als deel van uw waardepropositie
• U trekt klanten aan die geïnteresseerd zijn in beveiliging en behoudt hen.
• U beschermt uw kernactiviteiten door het vertrouwen in internet te vergroten.
• U oefent leiderschap en invloed uit om de toekomst van DNSSEC vorm te geven.

Internetaanbieders spelen een uiterst belangrijke rol in het functioneren van het internet en het succes van DNSSEC. De recursieve naamservers (resolvers) die internetaanbieders beheren, helpen internetgebruikers om miljoenen keren per dag snel domeinnamen om te zetten. Recursieve naamservers zijn ook de belangrijkste bedreiging voor cache-poisoning.

Recursieve naamservers met DNSSEC helpen cache-poisoning als volgt te voorkomen: wanneer een recursieve naamserver DNS-gegevens opvraagt bij een gezaghebbende server van een zone, en deze zone is ondertekend, vraagt de recursieve naamserver ook de DNSSEC-sleutel van de zone op, zodat kan worden geverifieerd dat de ontvangen gegevens identiek zijn aan de gegevens op de gezaghebbende server.

Voor verspreiding van DNSSEC in het ecosysteem van het internet moet u DNSSEC activeren op uw recursieve naamservers en zorgen dat uw netwerkinfrastructuur (firewalls, routers, switchers en load balancers) compatibel is met de grotere DNS-reacties die DNSSEC genereert. Mettertijd kunt u DNSSEC in uw ontwikkelings- en testcycli opnemen. Internetaanbieders die DNS-hostingservices bieden, moeten DNSSEC-functionaliteit ook voor deze services activeren.

De meeste commercieel beschikbare recursieve naamservers bieden al ondersteuning voor DNSSEC en vereisen alleen een update of parameterwijziging. U moet verouderde naamservers en bestaande netwerkapparaten mogelijk echter upgraden of vervangen.

Verisign is erop gericht om u te helpen de beste DNSSEC-implementatie voor uw omstandigheden te bepalen.

In de volgende tabel vindt u suggesties voor de aanpak van belangrijke problemen met betrekking tot DNSSEC-implementatie.

U kunt weloverwogen stappen nemen om een DNSSEC-systeem te verwezenlijken waardoor u het vertrouwen van eindgebruikers behoudt en u profiteert van een concurrentievoordeel. Op basis van de ervaring die we hebben opgedaan door samenwerking met registrars en internetaanbieders en de implementatie van DNSSEC in de hoofdzone, .edu, .net en .com, raden wij de volgende eerste stappen aan.

Verkennen en trainen

• Zorg dat u een duidelijk beeld hebt van de wijze waarop DNSSEC in uw cyberbeveiligingsstrategie past.
• Zorg dat u op de hoogte bent van de voordelen en uitdagingen die de implementatie van DNSSEC met zich meebrengt.
• Zorg dat u op de hoogte bent van de standaarden die gelden voor openbare sleutels, cryptografie en codering en hoe digitale handtekeningen en openbare/persoonlijke sleutels met elkaar werken.
• Zorg ervoor dat de medewerkers van de IT-afdeling en klantenondersteuning training krijgen over de wijze waarop ze met DNSSEC-gerelateerde problemen om moeten gaan.
• Maak gebruik van Verisign-bronnen en plan een strategie om klanten over DNSSEC te informeren.

Plannen

• Stel een tijdlijn op voor de implementatie van DNSSEC.
• Beslis hoe u DNSSEC wilt integreren in uw bestaande DNS-architectuur.
• Stel beleidsregels en processen op om updates van openbare sleutels van registrars of andere vertrouwensankers systematisch te integreren.

Evalueren en bijwerken

• Maak een inventaris van uw infrastructuur en beoordeel deze. Ga bijvoorbeeld na welke versie van BIND- of Unbound DNS-software u gebruikt en controleer of naamservers NSEC3 en SHA-256 ondersteunen.
• Bepaal de eventuele impact van DNSSEC op netwerkbandbreedte (grotere DNSSEC-pakketten verhogen het netwerkverkeer).
• Overweeg welke invloed DNSSEC zal hebben op het beheer van recursieve naamservers.
• Vraag hardwareleveranciers waar DNSSEC in hun schema past en of er upgrades beschikbaar zijn voor uw bestaande netwerkapparaten.
• Evalueer de producten en services die uw implementatie ondersteunen.
• Werk DNS-hardware en naamserversoftware waar nodig bij, zodat deze compatibel is met DNSSEC.

Deelnemen

• Werk samen met industrieconsortia, organen voor standaarden en software- en hardwareleveranciers om oplossingen en procedures te ontwikkelen die aansluiten op de behoeften van uw organisatie.
• Werk samen en bepaal een strategie voor de eindgebruikerservaring wanneer DNSSEC "slechte" gegevens aantreft.