DNS安全保护策略的实施方法

目前，针对DNS的一些安全保护策略可以在一定程度上缓解DNS安全问题。

1.关闭域名服务器的递归查询功能

此策略关闭递归查询并将DNS名称服务器置于被动模式。当它向外部DNS发送查询请求时，它仅回答其授权域的查询请求，并且不缓存任何外部数据。NN，这种方法可以抵御缓存中毒攻击，但它也降低了DNS域名解析的速度和效率。

2.限制区域传输

BIND配置文件中的某些设置可以限制允许区域传输的主机，这可以在一定程度上缓解信息泄漏。但是，即使整个区域被阻止，DNS安全问题也无法从根本上解决，因为攻击者可以使用DNS工具自动查询域名空间中的每个IP地址，以了解哪些IP地址尚未分配。利用这些空闲的IP地址，攻击者可以通过IP地址进行欺骗，并伪装成系统中信任网络中的主机，以完成请求区域的传输。

3.SPLIT DNS(www.xing528.com)

该策略使用SPLIT DNS技术将DNS系统划分为内部和外部部分。外部DNS系统位于公共服务区域，负责正常的外部解析。内部DNS系统负责解析内部网络的主机。当要查询内部域名时，查询任务将转发到外部DNS服务器，然后转发到外部。DNS服务器完成查询任务。将DNS系统分为两部分的优点是，Internet上的其他用户只能看到外部DNS系统中的服务器，但看不到内部服务器，只有内部和外部DNS服务器可以交换DNS查询信息。它可以确保系统的安全性并更有效地防止信息泄漏。

4.及时更新DNS服务器软件

互联网上使用最广泛的DNS服务器软件是BIND，它是一个版本不断更新的免费软件。新版本逐渐克服了旧版本中的一些漏洞和缺陷。因此，使用最新版本的BIND可以在一定程度上提高DNS和网络系统的安全性。但随着新漏洞的发现，最新版本也存在安全隐患。

此外，还有一些辅助手段，如限制IP地址查询，限制递归查询的IP地址范围等。这些方法与以前的方法类似，从访问角度提高了DNS系统的安全性。控制和许可限制。但是，设计DNS的最初想法是向公众提供公共服务，为各种查询提供一致的响应，并且DNS命名空间中的任何数据都被视为公共数据。限制使用这些数据在一定程度上违反了DNS的初衷，给用户的使用带来了不便，同时也无法解决DNS所面临的基本安全问题，即资源的可信度和消息。

从上述增强DNS安全性的方法可以看出，这些防御策略只能部分解决DNS的安全问题，并且不对DNS消息交换过程中的数据进行任何认证和数据完整性检查，攻击者可以仍然通过各种一种欺骗手段来入侵DNS系统，因此DNS安全问题没有根本的解决方案。有效保护DNS系统和提高DNS安全性的基本方法是从协议层重新设计域名解析，并在域名解析过程中向数据源添加身份验证和完整性验证。