DNS必须顺利运行 以便Internet可以继续正常运行

一名荷兰黑客因有史以来被称为最大的分布式拒绝服务攻击而被捕。反垃圾邮件组织Spamhaus遭到攻击，据欧盟IT安全机构ENISA称，Spamhaus基础架构的负载达到每秒300千兆位，是之前记录的三倍。它还造成了严重的互联网拥堵，并扰乱了全球的互联网基础设施。

当然，DNS攻击并不罕见。但是，虽然Spamhaus案中的黑客只是意图伤害他的目标，但攻击的更大后果也指出了许多人称之为互联网基础设施的主要缺陷：域名系统。因此，最近对核心DNS基础设施的攻击让技术人员和商人都争先恐后地寻求解决方案。那你呢?了解您拥有哪些选项来支持您自己的企业的DNS基础架构以及DNS根服务器的运行方式非常重要。让我们来看看一些问题，以及企业可以采取哪些措施来保护自己。

现有基础设施

域名系统(DNS)是互联网忘记的时候。但这并不能成为旧闻。随着不断变化的网络攻击威胁，DNS多年来受到了大量的审查。在其初期，DNS没有提供任何形式的身份验证来验证DNS查询的发送者或接收者的身份。

事实上，多年来，核心名称服务器或根服务器受到了广泛而多样的攻击。如今，它们在地理上多种多样，由不同类型的机构运营，包括政府机构，商业实体和大学，以维护其完整性。

令人震惊的是，过去一些攻击有些成功。例如，对根服务器基础设施的严重攻击发生在2002年。尽管它并未对大多数互联网用户产生明显的影响，但它确实吸引了联邦调查局和美国国土安全部的注意，因为它非常专业且具有高度针对性，影响了13个运营的根服务器中的9个。专家说，如果它持续了一个多小时，结果可能是灾难性的，使得互联网DNS基础设施的元素几乎无用。

打败互联网基础设施这样一个不可或缺的部分，将为一个成功的攻击者提供强大的力量。因此，大量的时间和投资已经应用于保护根服务器基础结构的问题。

保护DNS

除核心基础架构外，同样重要的是要考虑您自己的企业的DNS基础架构对攻击和故障的强大程度。例如(在某些RFC中说明)，名称服务器应位于完全不同的子网或网络上。换句话说，如果ISPA完全中断并且您的主名称服务器脱机，那么ISPB仍将向请求它的任何人提供您的关键DNS数据。

域名系统安全扩展(DNSSEC)是最受欢迎的方式之一企业可以保护自己的名称服务器基础架构这些是一个附加组件，用于确保连接到您的名称服务器的计算机符合它的说法。DNSSEC还允许进行身份验证，以识别请求的来源，以及验证数据本身是否在途中未被更改。但是，由于域名系统的公共性质，使用的加密技术不能确保数据的机密性，如果基础设施的某些部分遭受某些描述的失败，它也没有任何可用性的概念。

NSEC或下一个安全条目实质上跳转到DNS条目列表中的下一个有效条目。它是一种可用于返回不存在的DNS条目的方法。这很重要，因此只有配置的DNS条目才被认为是真实的。

NSEC3是一种改进的安全机制，有助于缓解字典式攻击，于2008年3月在RFC5155中得到批准。

DNSSEC接收

虽然许多支持者已投资部署DNSSEC，但并非没有批评者。尽管有能力帮助避免诸如中间人攻击之类的攻击，其中查询可能会在不知情的情况下被劫持和错误地提供给生成DNS查询的人，但是现有互联网基础设施的某些部分存在涉及的兼容性问题。主要问题是DNS通常使用较少带宽的用户数据报协议(UDP)，而DNSSEC使用较重的传输控制协议(TCP)来回传递其数据以提高可靠性和可靠性。旧的DNS基础设施的大部分，每周7天，每天24小时都有数百万的DNS请求，可能无法增加流量。即便如此，许多人认为DNSSEC是保护互联网基础设施的重要一步。

虽然生活中没有任何保证，但花一些时间考虑自己的风险可能会在将来避免许多代价高昂的麻烦。例如，通过部署DNSSEC，您可以增加对部分关键DNS基础架构的信心。

标签：

免责声明：免责声明：本文由用户上传，与本网站立场无关。财经信息仅供读者参考，并不构成投资建议。投资者据此操作，风险自担。 如有侵权请联系删除！