如何保护您的域名系统免遭劫持

2019-10-18

多年来，大规模域名系统劫持（通常以DNS攻击或DDoS攻击的形式）一直在稳定增长。但是2019年DNS劫持事件的数量空前，促使英国国家网络安全中心就这一威胁向相关组织发出警报并提供建议：学习如何保护您的域名系统免遭劫持。

| DNS劫持的后果

DNS攻击比其他攻击更能破坏用户对互联网的信任。从数据盗窃到财务欺诈等一系列后果，任何受到DNS攻击的人都会对互联网保持警惕，尤其是对攻击起源地的域名产生怀疑。众所周知，遭受DNS劫持而受伤的客户会放弃大批受影响的服务，同时也会损害到收入和品牌声誉。

DNS劫持会对组织及其品牌形象造成灾难性的后果。当一家公司成为DNS劫持的受害者时，其客户将面临欺诈、数据盗窃、侵犯隐私和财务损失的风险。公司的品牌声誉受损，导致客户流失和收入下降。此外，公司还可能会受到监管机构的罚款或其他处罚。

互联网用户信任他们访问的网站是安全、可靠和加密的，能够保护他们的在线数据。

诸如《通用数据保护条例》之类的监管机构也将为此付出代价。英国航空公司最近因涉及一起DNS劫持的数据泄露而被罚款2.3亿美元，该DNS劫持将流量重定向到欺诈网站。当用户将信用卡数据输入他们认为是合法的英国航空公司网站时，超过40万名客户受到了影响。

DNS劫持造成的收入、客户和品牌声誉损失将直接影响公司的利润和资本价值。

| 为什么DNS容易受到攻击

考虑到大多数组织的在线服务和运营规模，DNS是一个充满潜在漏洞的庞大网络也就不足为奇了。废弃的域名、薄弱的密码控制和繁重的管理过程更加剧了这些弱点。

一个被遗忘的域名让戴尔在放弃了对它的控制权，该域名使用户能够一键将其电脑备份到在线服务上。黑客发现这一疏忽后，便盗用了该域名，将全球各地的戴尔计算机用户重定向到一个包含充满了露骨内容和危险下载内容的网站。这对戴尔品牌声誉的损害是巨大的。

在称为“垃圾熊”的攻击中，黑客利用GoDaddy的DNS系统从600家所有者中窃取了4,000个孤立域名，其中包括ING Bank、Hilton、McDonald's和Mastercard。这些域名特别容易受到攻击，因为它们被遗忘在主服务器之外并且没有得到有效的管理。

DNS控制系统的访问应仅限于授权人员，然而，由于密码管理不良，他们容易受到攻击。未经授权的团体经常获得对公司DNS控制系统，劫持域名和DNS的访问权，甚至掩盖其踪迹以逃避检测。由于DNS控件可能涉及DNS所有者和DNS服务提供商的操作，所以这两个系统都需要安全的密码控制，例如双因素身份验证。

较小的变化可能会使域名面临风险，因此管理员必须努力地跟踪何时、何地、为什么以及如何进行更改。这项工作通常是手动完成的，增加了错误和疏忽，危及DNS安全的风险。

设置（例如用于验证用户和目的地的域名系统安全扩展）以及用于审核电子邮件用户的基于域名的邮件验证、报告和一致性以及发件人策略框架，被广泛认为是强制性和必要的安全措施。正在进行的对《财富》1000强公司的调查显示，这些保护要么全部丢失，要么部署不正确，使受影响组织的DNS网络和客户遭受严重的破坏。

为了保护每个人的利益，公司必须通过全面有效地管理来加强DNS的安全性。

| 如何保护您的域名系统免受劫持

预防DNS攻击主要是管理不断增长的DNS网络操作规模，避免劫持并使用以下策略保护来DNS。

将所有域名注册商和DNS服务提供商合并为一个企业级注册商和DNS服务提供商。在一个平台上工作可以更轻松地控制和进行访问，实现更强大的密码保护以及使用相同的最佳实践去管理所有进程。单一平台还允许用户激活“自动续订”和“注册商锁定”功能，以减少失败的域名续订和未经授权的DNS更改的机会。

对所有域名（包括未使用的域名）的管理和维护都应与高级域名相同。积极主动地消除孤立的域名并管理可能容易被滥用的DNS设置，例如未使用的IP地址和缺少授权起始（SoA）的域名。

实施基于系统的变更管理平台，该平台依赖自动化而不是手动输入。自动化阻止未经授权的更改，将已授权的更改通知给管理员，并对系统内的所有活动进行防篡改审核。理想情况下，该平台集成了所有与DNS相关的管理任务，包括用于加密的TLS证书和DNSSEC之类的安全设置。

通过自动化进程来克服重要的DNS安全功能的复杂性。DNSSEC、DMARC和SPF的管理难度大且成本高昂，这对许多公司而言在经济上是不可持续的。自动化的DNS安全使其在财务上可行且易于管理，同时确保完全合规。

客户和用户将避开他们认为不安全的网站。每个具有在线服务的组织都需要将DNS安全视为优先事项，互联网的安全性取决于此。