在互聯(lián)網(wǎng)全球化進(jìn)程日益加快的今天，數(shù)據(jù)和網(wǎng)絡(luò)基礎(chǔ)設(shè)施已經(jīng)成為企業(yè)或組織的核心，員工、合作伙伴和客戶之間的聯(lián)系、重要的業(yè)務(wù)進(jìn)程都越來(lái)越依賴(lài)于互聯(lián)網(wǎng)的支撐，而提供IP地址和域名轉(zhuǎn)換的DNS系統(tǒng)，是實(shí)現(xiàn)網(wǎng)絡(luò)應(yīng)用必不可少的前提，對(duì)確保企業(yè)互聯(lián)網(wǎng)化運(yùn)作可謂功不可沒(méi)。

DNS作為網(wǎng)絡(luò)基礎(chǔ)設(shè)施的一個(gè)根本部分，關(guān)系到企業(yè)的生產(chǎn)力，但正是因?yàn)镈NS應(yīng)用的這種普及性和不可替代性，它又是一個(gè)主要的攻擊途徑。雖然很多企業(yè)正在全力以赴地應(yīng)對(duì)網(wǎng)絡(luò)安全威脅，以期能檢測(cè)和規(guī)避常見(jiàn)及專(zhuān)業(yè)的網(wǎng)絡(luò)攻擊，但遺憾的是，大多數(shù)企業(yè)并沒(méi)有對(duì)DNS安全起到足夠的重視，使企業(yè)的數(shù)據(jù)、資產(chǎn)和信譽(yù)都處在風(fēng)險(xiǎn)之中。思科2016年度安全報(bào)告指出，近91.3%的“已知不良”惡意軟件被發(fā)現(xiàn)使用DNS作為主要手段，但68%的企業(yè)卻忽略了這個(gè)問(wèn)題，并沒(méi)有對(duì)DNS解析器進(jìn)行監(jiān)測(cè)，思科非常形象地把這稱(chēng)作“DNS盲點(diǎn)”——DNS是互聯(lián)網(wǎng)上最常見(jiàn)的協(xié)議，但它卻成為了最容易被忽視的。

為什么是DNS？攻擊者會(huì)抓住任何互聯(lián)網(wǎng)服務(wù)或協(xié)議的漏洞來(lái)發(fā)動(dòng)攻擊，這當(dāng)然也包括DNS。思科2016年安全報(bào)告顯示，惡意軟件一般通過(guò)DNS實(shí)現(xiàn)命令與控制（Command and Control）信道、竊取數(shù)據(jù)和重定向流量等三個(gè)目的。

攻擊者曾使用很多信道與他們的僵尸網(wǎng)絡(luò)或惡意主機(jī)通信，比如TCP、IRC或HTTP等，但通過(guò)這些通道的惡意軟件流量都可以被防火墻等網(wǎng)絡(luò)安全設(shè)備或方案檢測(cè)到并阻止。但對(duì)于DNS而言情況卻并非如此。由于DNS服務(wù)的不可替代性，而企業(yè)又缺乏對(duì)DNS安全的重視，所以幾乎所有類(lèi)型的網(wǎng)絡(luò)都會(huì)允許DNS數(shù)據(jù)報(bào)文不受限制地訪問(wèn)網(wǎng)絡(luò)，而不對(duì)其流量進(jìn)行過(guò)濾或檢查。惡意軟件正是利用了這一點(diǎn)，通過(guò)在DNS協(xié)議中構(gòu)建隧道，進(jìn)行命令控制和數(shù)據(jù)滲漏。比如通過(guò)DNS響應(yīng)來(lái)接收指令，并利用DNS查詢(xún)請(qǐng)求，傳送竊取到的數(shù)據(jù)，如用戶或企業(yè)的敏感信息。利用DNS隧道技術(shù)的攻擊近年來(lái)逐漸上升，規(guī)模也越來(lái)越大，比如2013年針對(duì)Target、2014年針對(duì)Sally Beauty和家得寶的攻擊，都是將竊取的數(shù)據(jù)偽裝在DNS查詢(xún)到數(shù)據(jù)包中外泄出去；而針對(duì)POS（Point of Sale銷(xiāo)售點(diǎn)）的惡意軟件族NewPosThings在今年四月也出現(xiàn)了新的變種Multigrain，客戶端感染Multigrain惡意軟件后，Multigrain會(huì)使用精心設(shè)計(jì)的DNS請(qǐng)求包告訴攻擊者已經(jīng)成功在目標(biāo)主機(jī)上進(jìn)行了安裝，之后它會(huì)抓取目標(biāo)機(jī)上的信用卡數(shù)據(jù)（如賬號(hào)密碼等），將數(shù)據(jù)進(jìn)行加密后，每隔5分鐘使用DNS查詢(xún)將新的數(shù)據(jù)發(fā)送給攻擊者。除了隧道技術(shù)，當(dāng)客戶端與受感染或惡意的DNS服務(wù)器進(jìn)行交互的時(shí)候，正常的域名請(qǐng)求響應(yīng)可能因?yàn)镈NS緩存投毒或DNS重定向而被劫持，引導(dǎo)至惡意網(wǎng)站或被惡意代碼感染。

當(dāng)然，除了惡意軟件，還有很多網(wǎng)絡(luò)攻擊也離不開(kāi)DNS，比如APT攻擊、垃圾郵件、僵尸網(wǎng)絡(luò)和掛馬網(wǎng)站等，它們都在利用DNS伺機(jī)攻擊企業(yè)的網(wǎng)絡(luò)。根據(jù)Forrester（一家獨(dú)立的技術(shù)和市場(chǎng)調(diào)研公司）最新發(fā)布的亞太地區(qū)漏洞管理趨勢(shì)調(diào)研報(bào)告顯示：在過(guò)去的一年中，80%的公司曾遭受至少一次的攻擊，最常見(jiàn)的是釣魚(yú)和基于DNS的攻擊。

盡管DNS是很多攻擊的源頭，但大多數(shù)企業(yè)并沒(méi)有對(duì)DNS基礎(chǔ)設(shè)施進(jìn)行監(jiān)控。對(duì)于他們來(lái)說(shuō)，DNS可能僅是一種實(shí)用工具，是在后面運(yùn)行的系統(tǒng)，只要DNS能正常運(yùn)行，那些隱藏在DNS流量之下的危險(xiǎn)就可以忽視不管了。不能任由DNS躺在那里，門(mén)戶大開(kāi)了。為此US-CERT（United States Computer Emergency Readiness Team美國(guó)計(jì)算機(jī)應(yīng)急小組）提出應(yīng)控制企業(yè)內(nèi)網(wǎng)到外網(wǎng)的DNS流量來(lái)保證DNS請(qǐng)求和響應(yīng)的安全性：即只能向企業(yè)內(nèi)部被授權(quán)的DNS緩存域名服務(wù)器發(fā)起請(qǐng)求和接收響應(yīng)，不允許直接使用外網(wǎng)DNS系統(tǒng)。具體措施包括自建企業(yè)DNS緩存服務(wù)器，對(duì)企業(yè)DNS流量進(jìn)行監(jiān)控和過(guò)濾，除了內(nèi)網(wǎng)DNS緩存域名服務(wù)器和授權(quán)域名服務(wù)器，對(duì)所有向53端口發(fā)送和接收的UDP和TCP流量進(jìn)行阻止和過(guò)濾。除了這些具體措施，國(guó)內(nèi)DNS解決方案提供商泰策也一再?gòu)?qiáng)調(diào)DNS基礎(chǔ)設(shè)施建設(shè)的重要性，呼吁企業(yè)盡快建立自己的DNS系統(tǒng)：一方面對(duì)DNS流量進(jìn)行必要的監(jiān)控和管理，這是檢測(cè)潛在惡意網(wǎng)絡(luò)活動(dòng)的一個(gè)重要工具；另一方面對(duì)DNS數(shù)據(jù)報(bào)文進(jìn)行分析和處理，阻斷對(duì)惡意鏈接的訪問(wèn)，避免垃圾郵件、掛馬網(wǎng)站、僵尸網(wǎng)絡(luò)和釣魚(yú)網(wǎng)站的侵害。此外，落實(shí)DNS基礎(chǔ)設(shè)施建設(shè)也不僅僅是一項(xiàng)未雨綢繆的舉措，DNS數(shù)據(jù)中有大量的信息可向企業(yè)提供網(wǎng)絡(luò)內(nèi)部發(fā)生的情況，在企業(yè)遭受基于DNS的安全威脅時(shí)，DNS就有了更多的用武之地，大量的DNS數(shù)據(jù)記錄可幫助網(wǎng)絡(luò)安全人員分提取有效信息、進(jìn)行必要的取證和防護(hù)處理。總之，DNS是所有在線服務(wù)的立足之本，DNS安全涉及企業(yè)安全根本，重視DNS，正是此刻。
本文轉(zhuǎn)自d1net（轉(zhuǎn)載）

總結(jié)

以上是生活随笔為你收集整理的恶意软件横行无忌 DNS“功”不可没的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。