如果你的服務器主機中運行了DNS服務，那么一定要小心DdoS這個很現實的攻擊行為。而如果你的DNS服務遭受到了DdoS攻擊，那么可以想象，最低的損失也是丟失電子郵件和暫停Web服務。而如果你的DNS服務主機位于企業(yè)內部，并且與企業(yè)用戶的網絡瀏覽等服務共用網絡連接，那么一旦遭受DdoS攻擊，就意味著整個企業(yè)的網絡服務暫停了。就算你的DNS服務只是用于測試或其它有限的目的，一旦被攻擊，所波及的范圍也會很廣。

其它會威脅到DNS的情況還包括對外網開啟FTP服務，這個服務本來不應該從企業(yè)內部對外開放的。因為管理員都明白，一旦你這樣做了，黑客和各種機器人程序會通過各種手段，包括暴力破解方式，來取得FTP的賬戶和密碼。就算你采用了很復雜的密碼，當多個暴力破解程序運行時，由此產生的失敗的FTP訪問流量就足以耗光網絡資源。

總之，企業(yè)自己搭建和管理DNS總會存在一定程度的安全風險。換句話說，目前公認的較好的解決方案就是DNS服務托管。對于那些還沒有為自己管理DNS服務做好萬全準備的企業(yè)來說，唯一的建議就是找個信任ISP或其它專業(yè)的托管機構，將這個事兒交給他們去做。

DDoS攻擊親身體驗

之所以撰寫這篇文章，也是因為我經歷了一場真實的DdoS攻擊。當時的受害者是位于北美的一個小辦公室，擁有一個DSL路由器和一個靜態(tài)IP地址。辦公室的服務器對外開啟了DNS。被攻擊的早期征兆有兩點，一是接收到的電子郵件數量比平時有所下降，二是Web瀏覽速度下降。在經過幾天的不良癥狀后，該辦公室再也收不到來自外界的電子郵件了，同時也無法進行網絡瀏覽了。使用最簡單的ping命令到互聯網大型網站地址，得到的結果要么是失敗，要么就是超過1000ms的響應時間，這也基本算是無法連接了。

很明顯此時有某個網絡進程充斥在DSL連接中。辦公室中的每臺電腦都關機重啟了，并沒有解決問題。重啟DSL也沒有解決問題。但是在重啟DNS服務器后，會有短暫的時間恢復到正常的互聯網連接狀態(tài)，幾分鐘后，這種正常的連接速度再次變得不正常，并很快無法連接任何網站。考慮到可能是電子郵件系統(tǒng)或基于Web的進程出現故障，便先后將服務器中的Exchange服務和Web服務關停，但是沒有效果。在接下來的逐項嘗試中，我們發(fā)現關閉DNS服務會產生明顯的效果，于是我們最終將問題鎖定在DNS服務上。

但是DNS服務的日志中并沒有任何警告事件，而且服務器本身也安裝了最新的補丁，包括DNS服務補丁和DoS溢出補丁。另一個找尋線索的位置就是防火墻的日志文件。雖然這個辦公室的防火墻沒有歷史日志文件，但是我們可以查看選定網絡協(xié)議的實時日志。從實時的防火墻日志可以觀察到，有兩個互聯網上的IP地址在不斷向辦公室的服務器發(fā)送DNS請求數據。這兩個IP地址所代表的服務器都位于歐洲，分別屬于兩個不同的國家，但是它們都在向這個相同的DNS服務地址發(fā)送大量的數據。如果有兩個或兩個以上的遠程地址在進行DoS攻擊，就可以將其歸類為DDoS攻擊，即分布式DoS攻擊。。

在DDoS攻擊下保護DNS

一旦你知道了攻擊方的IP地址，就可以簡單在防火墻中設置一個IP規(guī)則，阻止來自該IP地址的任何數據通過防火墻。在我們阻止了一個IP地址后，ping主流網站的結果已經達到300ms了。當我們將第二個IP地址阻擋后，ping主流網站的結果已經恢復到正常水平，大概30ms，并且所有網絡功能恢復了正常。這個辦公室很幸運，所遭受的DDoS攻擊只有兩個攻擊源，兩個固定IP地址。如果攻擊源有幾十甚至上百個(或者攻擊源IP地址是變化的)，該辦公室的處境就艱難的多了，同時對日常業(yè)務的沖擊也會更大。

正如我前面提到的，防止DNS服務器遭遇DDoS攻擊的最佳方案是將DNS服務交給DNS服務供應商去實現，比如你的ISP或知名的DNS注冊機構，或者可靠的托管機構。雖然這種做法無法從根本上杜絕黑客對于供應商展開DoS攻擊的威脅，但是起碼能夠防止在發(fā)生DoS攻擊時，你企業(yè)的各種網絡功能會不受影響。

如果出于某種原因，你必須要在企業(yè)內部建立DNS服務，那么一定要制定一個針對DNSDoS攻擊的應對策略。比如在不同地點建立多個DNS服務器,使用強化或專用的DNS服務器或應用程序并采用獨立的互聯網連接線路。Verisign在2011年5月發(fā)布了一份DNS可用性狀態(tài)報告，確認就算是最頂級的電子商務網站，其DNS的可用性也面臨潛在風險，尤其是那些自己建立和管理DNS服務的企業(yè)。