共计 1611 个字符，预计需要花费 5 分钟才能阅读完成。
DNS 服务器，即域名服务器，它作为域名和 IP 地址之间的桥梁，在互联网访问中，起到至关重要的作用。每一个互联网上的域名，背后都至少有一个对应的 DNS。对于一个企业来说，如果你的 DNS 服务器因为攻击而无法使用，整个企业的网站、邮箱、办公系统将全部瘫痪，这意味着对你造成的是成千上万个用户的不可访问，将产生不可估量的影响。你的 DNS 服务器是否受到过安全威胁，它现在真的安全么？
DNS 面临着各种各样的网络安全威胁，它一直是网络基础架构中较弱的一环。我们先来看看 DNS 服务器的威胁之一：DDoS 攻击。DDoS 攻击，即分布式拒绝服务攻击，攻击者通过控制大量的傀儡机，对目标主机发起洪水攻击，造成服务器瘫痪。DDoS 攻击通常分为流量型攻击和应用型攻击。以 bps 为单位的流量型的攻击，这类攻击会瞬间堵塞网络带宽；以 qps 为单位的应用层攻击，主要是将服务器的资源耗尽，攻击将造成 DNS 服务器反应缓慢直至再也无法响应正常的请求。DNS 服务易受攻击的原因，除了专门针对 DNS 服务器发起的；还有就是利用 DNS 服务的特点，用“DNS 放大攻击”对其他受害主机发起攻击。如下就是 DNS 放大攻击的示意图，DNS 方法攻击的危害极大。
16 年美国针对 DNS 供应商 Dyn，爆发来史上最大规模的 DDoS 攻击，这一攻击造成了半个美国网络瘫痪的严重影响。这次严重的攻击事件，就是 DNS 放大攻击造成的。
接下来，我们再来看看 DNS 劫持对 DNS 服务器会造成哪些威胁。DNS 劫持是指攻击者在劫持的网络范围内拦截域名解析的请求，篡改了某个域名的解析结果。比如用户本来想访问 www.aliyun.com，却被指引到了另一个假冒的地址上，从而达到非法窃取用户信息或其他不正常的网络服务的目的。对用户而言，DNS 劫持是很难感知的，因此造成的影响极大。如 2013 年就爆发过一次大型的 DNS 钓鱼攻击事件，导致约 800 万用户感染。攻击者通常会通过两种方式实现 DNS 劫持，一种是直接攻击域名注册商或者域名站点获取控制域名的账户口令，这样可以修改域名对应的 IP 地址，另外一种方式是攻击权威名称服务器，直接修改区域文件内的资源记录。如下图，中国电信发现域名劫持时，给访问用户的提醒。
DNS 劫持主要是将 NS 纪录指向到黑客可以控制的 DNS 服务器，而 DNS 投毒却是指一些有意或无意制造出来的域名服务器数据包，利用控制 DNS 缓存服务器，将域名指引到了不正确的 IP 地址。一般 DNS 服务器为了加快解析速度，通常都会把访问过的域名服务器数据暂存起来。待下次其他用户需要解析域名时，如果发现缓存中有该数据，就立刻调出来提供服务。如果 DNS 的缓存受到了污染，就会把访问的域名指引到错误的服务器上。简单点说，DNS 污染是指把自己伪装成 DNS 服务器，在检查到用户访问某些网站后，使域名解析到错误的 IP 地址。
DNS 服务如此重要，当对 DNS 的解析配置操作时，也必须谨慎小心。这里最后介绍的一种 DNS 常见威胁，就是人为误操作造成的。大家都知道域名做好解析后并不能立即访问到您的网站，因为解析生效需要时间。由于各地的 dns 服务器刷新时间不同，各地的大概时间范围为 0 -24 小时。最长的生效时间，达到 24 小时，如果不小心改错了域名的解析配置，也将造成极大的影响。这就要求我们对域名的管理需要精细化，分配好使用者的权限，存留好操作记录等日志信息。在域名修改配置或进行迁移时，操作一定要谨慎。
以上简单介绍了 DNS 服务器可能遇到的常见威胁。作为互联网最基础、最核心的服务，DNS 服务安全至关重要。打垮 DNS 服务能够间接打垮一家公司的全部业务，或者打垮一个地区的网络服务。面对重重威胁，怎么才能保障好我们的 DNS 服务器呢？接下来的专题，我们会针对 DNS 服务器常受到的攻击一一突破，敬请期待。
原文链接
本文为云栖社区原创内容，未经允许不得转载。
