DNS一直是互联网架构中脆弱的一环，2009年的多省“断网”事件，2010年的百度被“黑”事件，都是由于DNS受攻击引起的。目前，针对企业DNS服务器的攻击成为攻击者阻断企业网络服务的手段之一。除了DNS供应商自身的问题，用户配置不当也会给DNS服务器带来安全隐患。

    DNS一直是互联网架构中脆弱的一环，2009年的多省“断网”事件，2010年的百度被“黑”事件，都是由于DNS受攻击引起的。目前，针对企业DNS服务器的攻击成为攻击者阻断企业网络服务的手段之一。除了DNS供应商自身的问题，用户配置不当也会给DNS服务器带来安全隐患。

    据业内人士介绍，最近几年网络资源及服务成本日益降低，特别是带宽成本大幅下降，DNS攻击流量屡创新高。攻击者控制殭尸网络送出大量的DNS查询封包，送至网站的解析服务器，使其难于应付最终导致网络服务被阻断（Direct DNS Attack）。这是今后任何一家企业都可能面临的问题。

    在具体环境下，配置不当也会带来隐患。DNS安全扩展协议（DNSSEC, DNS Security Extensions）主要目的在于强化DNS服务验证，而要达成这个协议则必须开启DNS扩展名机制（EDNS0, Extension Mechanisms for DNS）的功能，但具有讽刺意味的是，如果开启这个功能却不知如何进行安全设置，则反而会让它变成一个安全漏洞。EDNS0本应成为安全配置的“标配”，但实际使用中却由于人们缺乏安全防范的意识将其遗漏。

    例如在DNS软件BIND 8.3.0与BIND 9.0.0以后的版本、提供DNS服务的Windows Server 2003，EDNS0都是默认开启，这些功能美其名曰可以满足多任务的处理需求，但事实上整体效果并不突出，而且可能造成DNS Server遭受DDoS攻击。尽管这是自1996年以来就存在的漏洞，但直到2012年，仍有全球性的DNS 服务商遭殃，最后的受害者毫无疑问是使用该服务的客户。

    既然这不是新手法，为什么至今仍有不少颇具规模的大企业被攻击呢？这主要由于两个方面的原因：一方面是基础网络仍沿用过去老旧架构；另一方面是相关人员缺乏信息安全意识。过去由于缺乏对信息安全的前瞻性认识，因而得不到重视，网络基础架构以业务能力为主，而非着重安全，因此在遭到安全攻击时无法快速应对。此外在人员意识方面，对于 DNS的配置安全也未受到重视。

    针对这个问题，安全专家提出以下四点建议：

    1. 彻底检查DNS服务器配置，关闭不需要的服务；

    2. 持续监控DNS流量，了解自身网络能承载的流量；

    3. 通过日常的监控，比对不正常流量发生的状况；

    4. 做好灾难救援方案。据了解，即使是跨国DNS服务供货商，可以为成千上万的客户服务，其后台服务却可能仅用数百台设备，造成状况发生时无法立即切换、备援。

    要杜绝针对DNS服务器的攻击，一方面要进行基础网络安全建设的升级，另一方面是通过后续安全配置和监控来改善。专家建议，企业还可以使用专业DDoS防御供货商的服务，得到更完整的安全防护。

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。