DNS系統(tǒng)概述

域名系統(tǒng)（DNS）作為互聯(lián)網(wǎng)基礎(chǔ)設(shè)施，在互聯(lián)網(wǎng)服務(wù)中占據(jù)著越來越重要的地位，保障域名系統(tǒng)安全運行對于維護互聯(lián)網(wǎng)安全、提升客戶感知具有重要意義。

近期互聯(lián)網(wǎng)領(lǐng)域頻繁發(fā)生針對DNS系統(tǒng)的DDOS攻擊（分布式拒絕服務(wù)攻擊）、緩存投毒、權(quán)威域名篡改等導(dǎo)致互聯(lián)網(wǎng)斷網(wǎng)或者重要應(yīng)用無法訪問等安全事件；有些DNS安全事件造成的損失非常巨大，以“5.19斷網(wǎng)事件”為例，據(jù)有關(guān)人士估計，電信運營商損失約為1.2億元。

如何保障DNS系統(tǒng)的安全迫在眉睫，勢在必行。該文檔將給出DNS系統(tǒng)的安全防護整體解決方案，為運營商的DNS系統(tǒng)保駕護航，使其為用戶提供可信、安全、可靠的DNS服務(wù)，滿足運營商DNS系統(tǒng)“業(yè)務(wù)可用、解析正確、狀態(tài)可視”的安全需求。

DNS系統(tǒng)安全風險分析

1.DNS系統(tǒng)的重要性

DNS （英文單詞的全稱是：Domain Name System，域名系統(tǒng)），是Internet的一項核心服務(wù)，它作為可以將域名和IP地址相互映射的一個分布式數(shù)據(jù)庫，能夠使人更方便的訪問互聯(lián)網(wǎng)，而不用去記住能夠被機器直接讀取的IP數(shù)串。完整的域名系統(tǒng)由遞歸域名服務(wù)系統(tǒng)（即本地域名服務(wù)器）、根域名服務(wù)系統(tǒng)、頂級域名服務(wù)系統(tǒng)以及各級域名服務(wù)系統(tǒng)等四個層級構(gòu)成。

DNS是十分重要的 Internet基礎(chǔ)設(shè)施，是Internet的基石，是互聯(lián)網(wǎng)的起點和入口，是全球互聯(lián)網(wǎng)通信的基礎(chǔ)，基于Internet的各種Web服務(wù)、Email服務(wù)、路由服務(wù)都依賴或者間接依賴DNS。DNS的作用相當于互聯(lián)網(wǎng)的中樞神經(jīng)系統(tǒng)，域名系統(tǒng)的故障會導(dǎo)致互聯(lián)網(wǎng)陷入癱瘓。域名系統(tǒng)就像是“空氣”，平時我們感覺不到它的存在，但是一旦出現(xiàn)問題，其影響可能是“致命”的。

眾所周知的“5.19斷網(wǎng)事件”，為DNS的安全再一次敲響了警鐘，并給了一次深刻的教訓(xùn)。5月19日21時起，由于baofeng.com網(wǎng)站的域名解析系統(tǒng)受到網(wǎng)絡(luò)攻擊出現(xiàn)故障，導(dǎo)致電信運營企業(yè)的遞歸域名解析服務(wù)器收到大量異常請求而引發(fā)擁塞，造成廣西、江蘇、海南、安徽、甘肅和浙江等省寬帶用戶大面積斷網(wǎng)。此次斷網(wǎng)事件造成的損失非常巨大，據(jù)有關(guān)人士估計，電信運營商損失約為1.2億元，游戲運營商損失1億元，網(wǎng)吧經(jīng)營者損失約為1000萬元。

2.DNS系統(tǒng)面臨的主要風險

目前，DNS面臨的安全問題主要可以分為三類：DNS欺騙攻擊、拒絕服務(wù)攻擊、系統(tǒng)漏洞，下文將分別進行介紹。

 DNS欺騙攻擊

當一個DNS服務(wù)器遭到欺騙攻擊，使用了來自一個惡意域名信息記錄的，將會產(chǎn)生許多安全問題。常見的DNS欺騙方式有以下種：緩存投毒（cache poison或緩存污染）、域名劫持、IP欺騙（IP Spoofing）、不安全的動態(tài)更新。

 拒絕服務(wù)攻擊

一旦DNS系統(tǒng)遭受拒絕服務(wù)攻擊，其服務(wù)將停止，會導(dǎo)致互聯(lián)網(wǎng)將處于癱瘓狀態(tài)。針對DNS的拒絕服務(wù)攻擊主要有：通用型DDoS攻擊、、DNS Query Flood攻擊（常見的Query Flood攻擊有IP Spoofing型攻擊、Random Qname型攻擊、濫用型攻擊等）；利用DNS的拒絕服務(wù)攻擊主要有反射DDoS攻擊（DrDDoS）、放大攻擊等。

 系統(tǒng)與應(yīng)用漏洞

BIND已經(jīng)是DNS服務(wù)器的事實標準，但是BIND自身存在安全漏洞，如遠程緩存破壞漏洞、可預(yù)測DNS查詢ID漏洞、驗證遠程拒絕服務(wù)漏洞、上下文遠程拒絕服務(wù)漏洞等。

DNS系統(tǒng)還有很多的內(nèi)容和知識點，本文只想大家介紹了關(guān)于DNS系統(tǒng)安全風險的內(nèi)容，我們還會在以后的文章中繼續(xù)向大家介紹其他模塊的內(nèi)容。