什么是DNS？域名系統(tǒng) (DNS) 是一種將域名（例如website.com）轉換為IP地址的協(xié)議。當用戶在瀏覽器中輸入域名website.com時，DNS 解析器（操作系統(tǒng)中的一個程序）會搜索數(shù)字IP地址或website.com。

為什么要對DNS進行攻擊？DNS是IP網(wǎng)絡和互聯(lián)網(wǎng)的一項基本服務，這意味著在大多數(shù)交換期間都需要DNS。通信通常從DNS解析開始，如果解析服務不可用，大多數(shù)應用程序?qū)o法再運行。 

攻擊者經(jīng)常試圖通過繞過協(xié)議標準功能或利用漏洞利用和缺陷來拒絕DNS服務。DNS被所有安全工具接受，對協(xié)議或使用的驗證有限。這可以為隧道、數(shù)據(jù)泄露和其他利用地下通信的攻擊打開大門。

五種主要的DNS攻擊類型是什么？

1、DNS隧道

DNS隧道涉及對DNS查詢和響應中的其他程序或協(xié)議的數(shù)據(jù)進行編碼。它通常具有可以接管DNS服務器并允許攻擊者管理遠程服務器和應用程序的數(shù)據(jù)有效負載。 

DNS隧道通常依賴于受感染系統(tǒng)的外部網(wǎng)絡連接，這提供了一種通過網(wǎng)絡訪問進入內(nèi)部DNS服務器的方法。它還需要控制服務器和域，該服務器和域充當執(zhí)行數(shù)據(jù)有效負載可執(zhí)行程序以及服務器端隧道的權威服務器。 

2、DNS放大

DNS放大攻擊在目標服務器上執(zhí)行分布式拒絕服務(DDoS)。這涉及利用公開可用的開放式 DNS 服務器，以便用DNS響應流量壓倒目標。 

通常，攻擊始于威脅行為者向開放的DNS服務器發(fā)送DNS查找請求，將源地址欺騙為目標地址。一旦DNS服務器返回DNS記錄響應，它就會被傳遞到新的目標，該目標由攻擊者控制。

3、DNS泛洪攻擊

DNS泛洪攻擊涉及使用DNS協(xié)議執(zhí)行用戶數(shù)據(jù)報協(xié)議(UDP)泛洪。威脅行為者以極高的數(shù)據(jù)包速率部署有效（但被欺騙）的DNS請求數(shù)據(jù)包，然后創(chuàng)建大量源IP地址組。 

由于請求看起來有效，目標的DNS服務器開始響應所有請求。接下來，DNS服務器可能會被大量請求淹沒。DNS攻擊需要大量網(wǎng)絡資源，這會使目標DNS基礎設施疲憊不堪，直到它脫機。結果，目標的互聯(lián)網(wǎng)訪問也下降了。 

4、DNS 欺騙

DNS欺騙或DNS緩存中毒涉及使用更改的DNS記錄將在線流量重定向到冒充預期目的地的欺詐站點。一旦用戶到達欺詐目的地，系統(tǒng)就會提示他們登錄自己的帳戶。 

一旦他們輸入了信息，他們實際上就給了威脅行為者竊取訪問憑證以及在欺詐性登錄表單中輸入的任何敏感信息的機會。此外，這些惡意網(wǎng)站通常用于在最終用戶的計算機上安裝病毒或蠕蟲，使威脅行為者能夠長期訪問計算機及其存儲的任何數(shù)據(jù)。

5、NXDOMAIN攻擊

DNS NXDOMAIN泛洪DDoS攻擊試圖通過對無效或不存在的記錄發(fā)出大量請求來淹沒DNS服務器。這些攻擊通常由DNS代理服務器處理，該服務器用盡其大部分（或全部）資源來查詢DNS權威服務器。這會導致DNS權威服務器和DNS代理服務器耗盡所有時間來處理錯誤的請求。結果，合法請求的響應時間變慢，直到最終完全停止。

以下幾種方法可以幫助我們保護企業(yè)免受DNS攻擊：

1、保持DNS解析器的私密性和受保護

將DNS解析器的使用限制為僅供網(wǎng)絡上的用戶使用，永遠不要對外部用戶開放，這可以防止其緩存被外部參與者毒化。 

2、配置我們的DNS以防止緩存中毒

在我們的DNS軟件中配置安全性，以保護我們企業(yè)免受緩存中毒。我們可以為傳出請求添加可變性，以使威脅行為者難以插入虛假響應并使其被接受。例如，嘗試隨機化查詢ID，或使用隨機源端口而不是 UDP端口53。

3、安全地管理我們的DNS服務器

權威服務器可以由服務提供商在內(nèi)部托管，也可以在域名注冊商的幫助下托管。如果我們具備內(nèi)部托管所需的技能和專業(yè)知識，則可以完全控制。如果我們不具備所需的技能和規(guī)模，可能會從這方面的外包中受益。 

4、測試我們的Web應用程序和API是否存在DNS漏洞

Bright會自動掃描我們的應用程序和API以查找數(shù)百個漏洞，包括DNS 安全問題。

以上是五種DNS攻擊類型及其預防方法，希望能幫助到大家！