如何保护您的域名系统免遭劫持

大规模域名系统劫持（通常以DNS 攻击或DDoS 攻击的形式）多年来一直在稳步增加。但2019年前所未有数量的DNS劫持事件促使英国国家网络安全中心向相关组织发出威胁警报并提供建议：了解如何保护您的域名系统免遭劫持。

| DNS 劫持的后果DNS 攻击比任何其他攻击都更能破坏用户对互联网的信任。从数据盗窃到金融欺诈，任何遭受DNS 攻击的人都会对互联网保持警惕，尤其是发起攻击的域名。众所周知，因DNS 劫持而受伤的客户放弃了大量受影响的服务，同时也损害了收入和品牌声誉。

1、通过劫持域名，黑客可以有效利用武器为企业提供在线服务。 DNS 劫持可能会给组织及其品牌形象带来灾难性后果。当一家公司成为DNS 劫持的受害者时，其客户将面临欺诈、数据盗窃、隐私侵犯和财务损失的风险。该公司的品牌声誉受损，导致客户流失和收入下降。此外，公司可能会受到监管机构的罚款或其他处罚。

2.个人和企业都可能成为攻击目标，但网站所有者面临的后果最为严重。互联网用户相信他们访问的网站是安全、可靠和加密的，以保护他们的在线数据。

像《通用数据保护条例》这样的监管机构也会付出代价。英国航空公司(British Airways) 最近因涉及DNS 劫持（将流量重定向至欺诈网站）的数据泄露而被罚款2.3 亿美元。当用户将信用卡数据输入他们认为是合法的英国航空网站时，超过400,000 名客户受到了影响。

DNS 劫持造成的收入、客户和品牌声誉的损失将直接影响公司的利润和资本价值。

|为什么DNS 容易受到攻击考虑到大多数组织在线服务和运营的规模，DNS 是一个充满潜在漏洞的庞大网络也就不足为奇了。废弃的域名、薄弱的密码控制和繁琐的管理流程加剧了这些弱点。

1. 黑客经常利用公司忽视管理的过期或遗忘的域名。戴尔放弃了对一个被遗忘的域名的控制权，该域名允许用户一键将其计算机备份到在线服务。当黑客发现这一疏忽时，他们窃取了域名并将世界各地的戴尔计算机用户重定向到一个充满露骨内容和危险下载的网站。戴尔品牌声誉受损巨大。

2. 未使用或“孤立”的域名是另一个问题：当公司管理数百甚至数千个域名时，很容易忽视受损的域名。在一次名为“Trash Bear”的攻击中，黑客利用GoDaddy 的DNS 系统窃取了600 个所有者的4,000 个孤儿域名，其中包括ING 银行、希尔顿、麦当劳和万事达卡。这些域特别容易受到攻击，因为它们被留在主服务器之外并且没有得到有效管理。

3、域名系统管理和访问容易受到攻击。 DNS 控制系统的访问应仅限于授权人员，但由于密码管理不善，他们很容易受到攻击。未经授权的组织经常获得企业DNS 控制系统的访问权限，劫持域名和DNS，甚至掩盖踪迹以逃避检测。由于DNS 控制可能涉及DNS 所有者和DNS 服务提供商的操作，因此两个系统都需要安全的密码控制，例如双因素身份验证。

4. 低效且低效的变更管理流程削弱了DNS 的安全性。

微小的更改可能会使域名面临风险，因此管理员必须努力跟踪更改的时间、地点、原因以及方式。这项工作通常是手动完成的，增加了出现错误和疏忽而损害DNS 安全的风险。

5. 无效的变更管理导致DNS 安全设置被忽略或失效。用于验证用户和目的地的域名系统安全扩展、基于域的邮件验证、报告和合规性以及用于审核电子邮件用户的发件人策略框架等设置被广泛认为是强制性和必要的安全措施。对《财富》 家财富1000 强公司的持续调查显示，这些保护措施要么全部缺失，要么部署不正确，导致受影响组织的DNS 网络和客户遭受严重破坏。

为了保护大家的利益，企业必须通过全面有效的管理来加强DNS安全。

|如何保护您的域名系统免遭劫持预防DNS 攻击主要是管理不断增长的DNS 网络运营规模，避免劫持并使用以下策略保护DNS。

1、合一平台，将所有域名注册商和DNS服务商合并为一个企业级注册商和DNS服务商。在一个平台上工作可以更轻松地控制和访问、更强大的密码保护以及使用相同的最佳实践来管理所有流程。该单一平台还允许用户激活自动续订和注册商锁定功能，以减少域名续订失败和未经授权的DNS 更改的可能性。

2. 删除不必要的域名。所有域名（包括未使用的域名）应采用与高级域名相同的方式进行管理和维护。主动消除孤立域名并管理可能容易被滥用的DNS 设置，例如未使用的IP 地址和缺少授权开始(SoA) 的域。

3. 集成变更管理实施基于系统的变更管理平台，该平台依赖于自动化而不是手动输入。自动化阻止未经授权的更改，通知管理员授权的更改，并对系统内的所有活动进行防篡改审核。理想情况下，该平台集成了所有与DNS 相关的管理任务，包括用于加密的TLS 证书和DNSSEC 等安全设置。

4. 自动化管理流程通过自动化流程克服重要DNS 安全功能的复杂性。 DNSSEC、DMARC 和SPF 管理起来很困难且成本高昂，这使得许多公司在财务上难以为继。自动化DNS 安全性使其在财务上可行且易于管理，同时确保完全合规。

客户和用户将避开他们认为不安全的网站。每个提供在线服务的组织都需要优先考虑DNS 安全，互联网的安全取决于它。