什么是DNS？域名系統 (DNS) 是一種將域名（例如website.com）轉換為IP地址的協(xié)議。當用戶(hù)在瀏覽器中輸入域名website.com時(shí)，DNS 解析器（操作系統中的一個(gè)程序）會(huì )搜索數字IP地址或website.com。

為什么要對DNS進(jìn)行攻擊？DNS是IP網(wǎng)絡(luò )和互聯(lián)網(wǎng)的一項基本服務(wù)，這意味著(zhù)在大多數交換期間都需要DNS。通信通常從DNS解析開(kāi)始，如果解析服務(wù)不可用，大多數應用程序將無(wú)法再運行。 

攻擊者經(jīng)常試圖通過(guò)繞過(guò)協(xié)議標準功能或利用漏洞利用和缺陷來(lái)拒絕DNS服務(wù)。DNS被所有安全工具接受，對協(xié)議或使用的驗證有限。這可以為隧道、數據泄露和其他利用地下通信的攻擊打開(kāi)大門(mén)。

五種主要的DNS攻擊類(lèi)型是什么？

1、DNS隧道

DNS隧道涉及對DNS查詢(xún)和響應中的其他程序或協(xié)議的數據進(jìn)行編碼。它通常具有可以接管DNS服務(wù)器并允許攻擊者管理遠程服務(wù)器和應用程序的數據有效負載。 

DNS隧道通常依賴(lài)于受感染系統的外部網(wǎng)絡(luò )連接，這提供了一種通過(guò)網(wǎng)絡(luò )訪(fǎng)問(wèn)進(jìn)入內部DNS服務(wù)器的方法。它還需要控制服務(wù)器和域，該服務(wù)器和域充當執行數據有效負載可執行程序以及服務(wù)器端隧道的權威服務(wù)器。 

2、DNS放大

DNS放大攻擊在目標服務(wù)器上執行分布式拒絕服務(wù)(DDoS)。這涉及利用公開(kāi)可用的開(kāi)放式 DNS 服務(wù)器，以便用DNS響應流量壓倒目標。 

通常，攻擊始于威脅行為者向開(kāi)放的DNS服務(wù)器發(fā)送DNS查找請求，將源地址欺騙為目標地址。一旦DNS服務(wù)器返回DNS記錄響應，它就會(huì )被傳遞到新的目標，該目標由攻擊者控制。

3、DNS泛洪攻擊

DNS泛洪攻擊涉及使用DNS協(xié)議執行用戶(hù)數據報協(xié)議(UDP)泛洪。威脅行為者以極高的數據包速率部署有效（但被欺騙）的DNS請求數據包，然后創(chuàng )建大量源IP地址組。 

由于請求看起來(lái)有效，目標的DNS服務(wù)器開(kāi)始響應所有請求。接下來(lái)，DNS服務(wù)器可能會(huì )被大量請求淹沒(méi)。DNS攻擊需要大量網(wǎng)絡(luò )資源，這會(huì )使目標DNS基礎設施疲憊不堪，直到它脫機。結果，目標的互聯(lián)網(wǎng)訪(fǎng)問(wèn)也下降了。 

4、DNS 欺騙

DNS欺騙或DNS緩存中毒涉及使用更改的DNS記錄將在線(xiàn)流量重定向到冒充預期目的地的欺詐站點(diǎn)。一旦用戶(hù)到達欺詐目的地，系統就會(huì )提示他們登錄自己的帳戶(hù)。 

一旦他們輸入了信息，他們實(shí)際上就給了威脅行為者竊取訪(fǎng)問(wèn)憑證以及在欺詐性登錄表單中輸入的任何敏感信息的機會(huì )。此外，這些惡意網(wǎng)站通常用于在最終用戶(hù)的計算機上安裝病毒或蠕蟲(chóng)，使威脅行為者能夠長(cháng)期訪(fǎng)問(wèn)計算機及其存儲的任何數據。

5、NXDOMAIN攻擊

DNS NXDOMAIN泛洪DDoS攻擊試圖通過(guò)對無(wú)效或不存在的記錄發(fā)出大量請求來(lái)淹沒(méi)DNS服務(wù)器。這些攻擊通常由DNS代理服務(wù)器處理，該服務(wù)器用盡其大部分（或全部）資源來(lái)查詢(xún)DNS權威服務(wù)器。這會(huì )導致DNS權威服務(wù)器和DNS代理服務(wù)器耗盡所有時(shí)間來(lái)處理錯誤的請求。結果，合法請求的響應時(shí)間變慢，直到最終完全停止。

以下幾種方法可以幫助我們保護企業(yè)免受DNS攻擊：

1、保持DNS解析器的私密性和受保護

將DNS解析器的使用限制為僅供網(wǎng)絡(luò )上的用戶(hù)使用，永遠不要對外部用戶(hù)開(kāi)放，這可以防止其緩存被外部參與者毒化。 

2、配置我們的DNS以防止緩存中毒

在我們的DNS軟件中配置安全性，以保護我們企業(yè)免受緩存中毒。我們可以為傳出請求添加可變性，以使威脅行為者難以插入虛假響應并使其被接受。例如，嘗試隨機化查詢(xún)ID，或使用隨機源端口而不是 UDP端口53。

3、安全地管理我們的DNS服務(wù)器

權威服務(wù)器可以由服務(wù)提供商在內部托管，也可以在域名注冊商的幫助下托管。如果我們具備內部托管所需的技能和專(zhuān)業(yè)知識，則可以完全控制。如果我們不具備所需的技能和規模，可能會(huì )從這方面的外包中受益。 

4、測試我們的Web應用程序和API是否存在DNS漏洞

Bright會(huì )自動(dòng)掃描我們的應用程序和API以查找數百個(gè)漏洞，包括DNS 安全問(wèn)題。

以上是五種DNS攻擊類(lèi)型及其預防方法，希望能幫助到大家！