在2017年初，即使已經使用了數十年，域名系統（DNS）仍然是網際網路的致命弱點。 這是因為網際網路上幾乎所有東西都需要DNS，但DNS服務依賴的協議既不可靠又容易被冒充。出於這兩個原因，攻擊者將DNS定位為直接攻擊或顛覆以支持其他攻擊。
現在已經是年底，我們都好奇在2018年中看到DNS威脅發生了什麼。對此有相關安全企業對2018年進行深入研究，注意到各種類型的DNS攻擊及其作為拒絕服務武器的使用。在整個一年中，看到的DNS事件主要分為三類。
DNS water torture拒絕服務攻擊
有相關客戶報告偽隨機子域或「DNS water torture attacks」每秒有50萬個連接攻擊他們的網絡。 即使網絡不是攻擊的直接目標，也會發生中斷。 例如，服務提供商仍然感受到DNS water torture通過他們的網絡並使他們的管道飽和的影響。
為了實施DNS water torture攻擊，攻擊者利用殭屍網絡（或thingbot）針對權威名稱伺服器發出數千個針對虛假子域的DNS請求。因為請求是針對不存在的子域或主機，所以請求消耗主解析器上的內存和處理資源。如果內聯中間DNS解析器，他們也會被這些虛假請求堵塞。對於合法的最終用戶，所有這些資源消耗意味著一切運行緩慢甚至停止，從而導致拒絕服務。
客戶看到數百、數千或在某些情況下數百萬個不存在域的DNS請求。仔細檢查後，每個請求似乎都是偽隨機生成的無意義字符串，機器人儘可能快地生成請求，然後將它們充分填滿。
您可以做些什麼呢
第一步是了解您的DNS環境：了解您擁有的解析器，它們的位置以及組織的正常流量負載。這意味著主動監控DNS伺服器，不僅是為了正常運行時間，還包括負載和資源使用情況。如果遭受DNS water torture攻擊，您能多快將其識別為DDoS攻擊而不是操作事故？如果沒有適當的監控和安全培訓，您的團隊可能會失去寶貴的幾分鐘或幾小時的寶貴正常運行時間，試圖找出客戶無法訪問您網站的原因。令人震驚的是，關閉DNS的攻擊也可以取出入站電子郵件（因為客戶無法解析DNS MX記錄），因此即使客戶投訴也可能無法聯繫到您。
下一步是確保您擁有DDoS響應策略，其中包括確保DNS伺服器的彈性，DDoS抓取/限制技術解決方案，和/或為您的團隊制定警報/升級計劃。由於這些攻擊對大多數組織來說都是一個可信的威脅，因此DNS中斷的影響應根據預期損失進行量化，並與業務領導一起進行審核。
反射DNS DDoS攻擊
還有客戶看到使用欺騙性DNS數據包的舊式反射DDoS攻擊。 由於DNS使用非有狀態UDP協議，因此攻擊者可以「反映」開放DNS解析器的虛假DNS請求，以生成DNS請求的風暴，以淹沒受害者，如圖1所示：
DNS反射攻擊如何工作
當發生這種情況時，客戶會看到來自各種前所未見的地址的大量DNS查詢。這些請求通常用於無意義的域甚至是「localhost」地址，因為它們是由DNS water torture攻擊引起的機器人生成的。有時攻擊者會使用像雅虎或谷歌這樣的大型網際網路DNS解析器來反射他們的攻擊，因此源地址可能來自那裡。
如果阻止您Internet連接的DNS請求未登錄實時地址，您可能會看到返回ICMP目標無法訪問的消息從網絡中彈回，這也會增加流量堵塞。在這些類型的攻擊中，DNS反射攻擊的行為類似於網絡容量DDoS，旨在通過流量填充管道，而不是針對特定服務或主機。
您可以做些什麼呢
如前所述，準備對拒絕服務攻擊的響應對任何依賴於Internet的組織都是謹慎的。同樣重要的是不要成為問題的一部分。 您應該確保沒有可用於反射DDoS攻擊的任何可通過Internet訪問的資源。這包括DNS解析器，但也可以包括從不受信任的來源（如memcached伺服器）或簡單服務發現協議（SSDP）、網絡時間協議（NTP）或字符生成器協議（CharGEN）等服務接受不受限制的可欺騙流量的任何服務。
過期域名接管和重定向
一些客戶報告了他們的一些網站突然開始重定向到奇怪的、聲名狼藉的網站這樣的一系列攻擊。 正常的目標網頁或電子商務網站已成為賭博網站、虛假購物網站甚至惡意軟體推送的廣告頁面。 攻擊者註冊了客戶舊的過期域名，並建立虛假網站以劫持正常的客戶流量。由於這些網站中的許多網站已經擁有大量訪問者，因此對於詐騙者來說，這是一種半合法的方式來挖掘免費網站流量。
不幸的是，攻擊者對流量所做的事情遠非合法。原始域的用戶在不知情下被提供惱人的廣告、騙局消息、點擊欺詐站點或惡意軟體。更糟糕的情況就是，詐騙者會放置原始網站的冒名頂替版本以竊取客戶的登錄憑據或支付卡信息等。
您可以做些什麼呢
發生這種情況的原因之一是有些公司企業會忘記他們擁有的域名以及其何時到期。域名清單流程的所有權應集中到一個團隊或角色，並分配用於跟蹤和管理續訂的職責。還應對域名所有權執行強身份驗證和最小權限原則。當某個域名準備棄用時，應該有一個計劃的去平臺化過程，該過程可能涉及轉發到新的域名一段時間，直到遷移所有用戶。
保持警惕
DNS安全仍然對Internet的服務存在威脅。 因此，它需要注意和保護。 這些是我們目前常見的DNS攻擊，因此您應該確保您的IT和安全團隊了解它們。記住DNS是如何工作的，並且安全性需要評估三個主要組件：DNS伺服器、域名所有權和DNS客戶端流量。攻擊者知道這些是關鍵的弱點，且沒有得到足夠的審查。各個企業需要為此做好一切安全準備。