如何保护您的域名系统免遭劫持

 
多年来，大规模域名系统劫持(通常以DNS欺骗或DDoS攻击的形式)一直在稳定增长。但是，2019年DNS劫持事件数量空前，促使英国国家网络安全中心就此威胁向组织发出警报并提供建议。了解如何保护域名系统免遭劫持。
DNS的运行方式类似于Internet的总机，将键入Web浏览器的字母字符与内容所驻留的服务器上的基于正确数字的IP地址连接起来。如果DNS连接被劫持，可以将毫无戒心的用户流量重定向到危险的网站。
确保互联网的基础
DNS攻击比其他攻击更能破坏用户对Internet的主要信任。从数据盗窃到财务欺诈的后果不堪设想，任何遭受DNS攻击的人都会对Internet保持警惕，尤其是对攻击起源的域产生怀疑。众所周知，遭受DNS劫持伤害的客户会大批放弃受影响的服务，同时损害收入和品牌声誉。
通过劫持一个域，黑客可以有效地利用武器为公司提供在线服务。
DNS劫持会对组织及其品牌形象造成灾难性的后果。当一家公司成为DNS劫持的受害者时，其客户将面临欺诈，数据盗窃，隐私受到侵犯以及财务损失的风险。该公司的品牌声誉受损，导致客户流失和收入下降。此外，公司可能会受到监管机构的罚款或其他处罚。
个人和企业都可能成为攻击的牺牲品，但网站所有者面临的后果最严重。
互联网用户信任他们访问的网站的安全，可靠和加密，以保护其在线数据。
诸如《通用数据保护条例》之类的监管机构也将为此付出代价。英国航空公司最近因涉及DNS劫持的数据泄露而被罚款2.3亿美元，该DNS劫持将流量重定向到欺诈网站。当他们将信用卡数据输入他们认为是合法的英国航空公司网站时，超过40万名客户受到影响。
DNS劫持造成的收入，客户和品牌声誉的损失直接关系到公司的底线和资本价值。
为什么DNS容易受到攻击
鉴于大多数组织的在线业务和运营规模庞大，因此DNS是一个包含潜在漏洞的庞大网络也就不足为奇了。遗弃的域，较弱的密码控制和繁重的管理流程使这些弱点更加复杂。
黑客通常会利用公司忽视管理的过期或遗忘的域。
当一个被遗忘的域放弃了对该域的控制权时，戴尔便遭受了折衷。该域使用户能够一键将其计算机备份到在线服务。黑客发现疏忽后，他们便盗用了该域，将全球各地的戴尔计算机用户重定向到一个包含明确内容和危险下载内容的网站。戴尔品牌声誉受到重大损害。
未使用或“孤立”的域是另一个问题：当公司管理数百个(甚至数千个)域时，很容易忽略受损的域。
在称为“垃圾熊”的攻击中，黑客利用GoDaddy的DNS系统从600个所有者(包括ING Bank，希尔顿，麦当劳和万事达卡)中窃取了4,000个孤立域。这些域名特别容易受到攻击，因为它们位于各自所有者的主要DNS服务之外，在那里他们被忘记并且没有得到有效管理。
正确运行域和DNS取决于规则和设置，例如“区域文件”，也称为资源记录。
DNS控制系统的访问应仅限于授权人员，但他们通常容易受到不良密码管理的攻击。未经授权的团体经常获得对公司DNS控制系统，劫持域和DNS的访问权，甚至掩盖其踪迹以逃避检测。由于DNS控制可能涉及DNS所有者和DNS服务提供商的操作，因此这两个系统都需要安全的密码控制，例如两因素身份验证。
低效，无效的变更管理流程也会削弱DNS安全性。较小的更改可能会使域面临风险，因此管理员必须勤奋地跟踪何时，何地，为什么以及如何进行更改。这项工作通常是手动完成的，从而增加了错误和疏忽危害DNS安全的风险。
无效的更改管理可能会导致DNS安全设置被忽略或无效。
设置(例如用于验证用户和目的地的域名系统安全扩展)以及用于审核电子邮件用户的基于域的邮件验证，报告和一致性以及发件人策略框架，被广泛认为是强制性和必要的安全措施。正在进行的对《财富》 1000强公司的调查表明，这些保护要么完全缺失，要么部署不正确，使受影响组织的DNS网络和客户遭受严重的破坏。
企业对客户及其底线负有责任，以更加有效地管理DNS。
为了保护所有人的利益，公司必须通过全面有效地管理DNS来加强DNS安全性。
从各个角度捍卫DNS
预防DNS攻击主要是管理不断增长的DNS网络操作规模。黑客利用混乱和复杂性来发挥自己的优势。简化是解药。避免劫持并使用以下策略保护DNS：
1.整合到一个平台
将所有域注册商和DNS服务提供商合并为一个企业级注册商和DNS服务。在一个平台上工作可以更轻松地控制访问，实施更强大的密码保护以及使用相同的最佳实践来管理所有进程。单一平台还使用户能够激活“自动续订”和“注册商锁定”功能，以减少失败的域名续订和未经授权的DNS更改的机会。
2.消除不必要的域
对所有域(包括未使用的域)的管理和维护都应与高级域相同。积极主动地消除孤立的域并管理可能容易被滥用的DNS设置，例如未使用的IP地址和缺少授权起始(SoA)的域。
3.整合变更管理
实施基于系统的变更管理平台，该平台依赖自动化而不是手动输入。自动化将阻止未经授权的更改，将已授权的更改通知管理员，并对系统内的所有活动进行防篡改审核。理想情况下，该平台集成了所有与DNS相关的管理任务，包括用于加密的TLS证书和DNSSEC之类的安全设置。
4.自动化DNS安全
通过自动化过程来克服重要的DNS安全功能的复杂性。 DNSSEC，DMARC和SPF的管理难度很大，而且管理成本高昂，这对许多公司而言在经济上是不可持续的。自动化的DNS安全性使其在财务上可行且易于管理，同时确保完全合规。
客户和用户将避开他们认为不安全的网站。
每个具有在线状态的组织都需要将DNS安全视为存在的优先事项。互联网的安全性取决于它。