提升DNS安全 限制DDoS攻击

提升DNS安全 限制DDoS攻击

早期数据显示，大规模分布式拒绝服务（DDoS）攻击在2020年相对平静，但这是否意味着这种平静趋势将在2021年持续？ 尽管大家都知道网络安全预测并不容易，但有专家指出，DNS安全的发展意味着网络犯罪分子只有改变策略才能生存。

NS1联合创始人兼首席执行官Kris表示：当前市场关注的焦点并不是大规模的DDoS攻击，但其背后的黑暗之战却从未缺席。 虽然小型、针对性强的 DDoS 攻击是网络安全中的常见特征，但继 2016 年由 Mirai 驱动的大型 DDoS 攻击之后，安全投资和改进使得域名服务器更难被用作攻击工具。

工程执行副总裁兼首席DNS架构师刘是这样认为的：

提高 DNS 安全性并使黑客更难利用 DNS 服务器进行 DDoS 攻击的一个重要方面是实施所谓的 RRL（响应速率限制）。 实现RRL后，单个域名的IP地址的解析请求只会得到DNS服务器有限数量的响应，这可以减少流量淹没受害者的可能性。

提高 DNS 安全性的另一个进步是 DNS 的普及。 它是一个防止 DNS 请求/响应伪造的系统，要求服务器由受信任的证书进行验证和签名。 刘说采纳。 例如，.com 和 .net 的采用率远低于其子域，而瑞典和比利时的采用率非常高。

对于使用公共 DNS 解析的个人和企业来说，安全消息仍然是利好。 由 、Open DNS 和 Quad9 托管的公共递归 DNS 服务器使用 RRL 和技术来处理所有事务。

注意：“递归”DNS 服务器用于用特定 URL 的地址响应客户端。 “权威”DNS 服务器提供递归 DNS 服务器用来响应查询请求的 IP 地址映射。

Quad9 是一项由提供商联盟运营的非营利服务。 其执行董事约翰托德表示：该服务目前在全球82个国家运营着137台服务器。 这些服务器使用各种技术，每天阻止超过 1000 万个恶意事件，有时甚至多达 4000 万个。

使用的技术之一是增强 DNS 查询的安全性，另一种技术是通过引用 19 个合作伙伴汇总的威胁情报源来阻止对已知恶意 URL 的解析，例如已知加载恶意软件或网络钓鱼链接的网站。

随着互联网用户越来越关注流量安全，Quad9的采用率也开始上升，每周增长率接近25%。 核心的安全性、冗余的需求以及公有云和私有云基础设施技术堆栈的统一都是未来的大事。

至于近期 DNS 安全性的进一步改进，您可以关注 DNS 命名实体身份验证 (DANE)。

IETF RFC 6698 中描述的 DANE 允许将证书信息放入对查询的响应中，以便查询者知道响应是否受到合法证书的保护。 从道德较差的证书颁发机构获取假证书相对容易，DANE 可以阻止这种欺骗。 这是一个有趣且有用的 DNS 应用程序，也有助于推动采用。