常见的针对DNS的攻击方式，DNS的安全防护方案

技术 | Technology
1

  • -

    如今的防护设备越来越多，曾经作为主流攻击点的对象都逐渐被各种防火墙、入侵防御系统、沙箱等各种技术手段保护起来。

  • -

    然而，对于攻击者而言，不断尝试寻找现有主流目标的新漏洞固然是一种方式；从尚未被建立保护措施的有效目标中找到新的攻击点也很重要。近年来，针对http协议的漏洞逐渐被挖掘殆尽，攻击者的目光也早已转向了其他互联网关键协议——其中之一就是DNS。

    • ### DNS的威胁

  • -

    DNS是网络连接的重要一环。其任务是将域名转化为网络地址，然后根据转化后的地址进行连接。然而，在这一过程中，攻击者却有丰富多样的攻击手段，各种常见攻击手法都能在DNS协议上做到复制。

  • -

    常见的针对DNS的攻击方式，DNS的安全防护方案

  • -

    以下是几种极其常见的针对DNS的攻击方式：

    • ### 1.ddos攻击

  • - 攻击者可以伪造自己的DNS服务器地址，同时发送大量请求给其他服务器。其他服务器的回复会被发送到被伪造服务器的真实地址，造成该服务器无法处理请求而崩溃。攻击者同样可以通过利用DNS协议中存在的漏洞，恶意创造一个载荷过大的请求，造成目标DNS服务器崩溃。

    • ### 2.DNS缓存中毒

  • - 攻击者可以通过攻破DNS服务器，对服务器中的地址缓存进行修改、伪造。将域名重新导向一个不正确的地址，从而可以实行钓鱼攻击、网站木马等其他攻击方式。这种攻击极具传播性：如果其他DNS服务器从该服务器中获取缓存信息，那么错误的信息会传播到其他DNS服务器上，扩大受害范围。

    • ### 3.DNS劫持

  • - 区别于DNS缓存中毒，DNS劫持不修改DNS服务器的缓存记录，而是直接将请求导向伪造的恶意DNS服务器，从而实现将域名地址导向恶意IP地址的目的。

    • ### 4.DNS嗅探

  • -

    一旦DNS配置不当，攻击者可以对DNS的配置信息获取网络环境的信息，为之后的攻击做好的准备。

  • -

    显然，无论攻击者是直接利用DNS发起攻击，造成业务的中断又或者是对企业内部人员进行钓鱼攻击；还是仅仅利用DNS对整个网络环境嗅探，来为下次更有威胁性的攻击行为收集情报，都会对企业带来巨大的利益损失。

  • -

    然而，面对这样一个威胁，很多企业却并没有对DNS服务器进行保护——究其原因，除了市面上缺乏对DNS的防护设备之外，企业本身也对于DNS存在的安全隐患了解较少。对于大部分企业而言，对于DNS的了解依然停留在了“能用就行”的地步，忽略了不安全的DNS会给自己带来的巨大损失。

  • -

    对DNS服务器需要采取特别的安全保护措施

  • -

    DNS服务器可为互联网提供域名解析服务，对任何网络应用都十分关键。同时在其中也包括了非常重要的网络配置信息，如用户主机名和IP地址等。正因如此，对DNS服务器要采取特别的安全保护措施。

  • -

    为了安全起见，建议在防火墙网络中，对内部DNS服务器和外部DNS服务器进行分开放置。为互联网服务的外部DNS服务器不应该包含对外禁止访问的内部网络系统的相关服务，它需要专门放置在内部DNS服务器上。

  • -

    如果将内部网络的相关服务放置在外部DNS服务器上，则会为非法攻击者提供攻击对象目标信息。这种将内部DNS服务器和外部DNS服务器分隔开的网络配置方案通常称之为分割DNS。

  • -

    在这种DNS服务器配置网络结构中，内部DNS服务器专用来为内部网络系统进行名称解析，使得内部网络用户可以通过它连接到其他内部系统，其中就包括内部防火墙和内部DMZ;外部DNS使得外部网络能够解析出主防火墙、外部DNS服务器、外部DMZ区的主机名字，但不能解析出内部网络系统主机的名字。

    • ### DNS的安全防护方案

    #### 针对于DNS面临的这些威胁，天下数据有自己的一套高级DNS防护方案，主要有四大特点：

    #### 1. 基于特征的DNS攻击检测

  • - 针对已知的攻击模式，天下数据的防护方案采取针对特征进行检测，对攻击进行拦截和响应。确保在面对已知威胁时，DNS服务器能够维持运作，并且不被篡改。

    • #### 2.威胁情报

  • - 面对不断变化和更新的攻击手段，天下数据的Threat Adapt（威胁适应）技术借助威胁情报进行防御。通过对新技术的研究和分析，以及客户自身的网络环境的变化，Threat Adapt可以自动升级来应对新的攻击。重要的是，Threat Adapt的安全升级是不需要进行补丁或者下线才能做到，极大保证了业务的连续性。

    • #### 3.可视化的中心管理

  • - 天下数据为客户提供了一套可视化的威胁管理平台。安全人员可以从这和个平台中，通过图表查看整个网络环境的攻击方向以及攻击趋势来把握情况。同时，安全人员可以使用内置或者自定义的报告框架来更快速地对事件进行追溯排查。

    • #### 4.硬件防护

  • -

    天下数据也提供硬件形态的数据包检测系统，在攻击抵达DNS服务器前进行拦截。

  • -

    我们常说：攻击只需要一个点，而安全要做到整个面。面对越来越多的攻击，我们不仅不能习惯于防护的手段，更不能习惯于防护的对象上。攻击者在不断地寻找新的攻击点，而我们对于防御是否也需要更多地思考防御的对象？天下数据的特点其实并不在于给DNS提供了一套安全解决方案；对他们而言，他们更偏向于他们提供了一套优秀的DNS系统——高效、易管理，而在这之上，安全——只是他们DNS系统的一个很重要特点。他们的理念，不是给一个产品附加了安全的能力，而是他们的产品本身就具有强大的安全能力。

    • 原文链接：http://www.360doc.com/content/20/0620/18/32351304_919589070.shtml

    1 个赞
    2

    格式编辑一下吧，太难看了。

    1 个赞
    3

    @“James”#p29818 :ac01:稍微改了下，好像好一丢丢了

    1 个赞
    4

    @“[未知用户]”#p29829 好多了

    1 个赞