5 @8 ~8 X* p: u: D 跟踪域名劫持事件的统计数据目前还没有。不过,反网页欺诈工作组(APWG)认为,这一问题已经相当严重,该工作组已经把域名劫持归到近期工作的重点任务之中。+ Y; k8 s# f# M
& K4 ^, h% I8 j. |6 `/ i, x d' P- E. r0 P1 V- I9 h0 ]
专家们说,缓存投毒和域名劫持问题早已经引起了相关机构的重视,而且,随着在线品牌的不断增多,营业额的不断增大,这一问题也更加突出,人们有理由担心,骗子不久将利用这种黑客技术欺骗大量用户,从而获取珍贵的个人信息,引起在线市场的混乱。 d7 x4 f, p5 o- a5 b. D: i% M ; s+ m% Q0 A9 j; r* b5 s! b0 Y& D6 b7 \
虽然,域名劫持在技术上和组织上解决起来十分复杂。但是在目前情况下,我们还是可以采取一些措施,来保护企业的DNS服务器和域名不被域名骗子所操纵。2 U9 ?1 I. l( n3 L$ s4 u
. a" H- t# ^* Z9 y- ^9 L: o0 m
" N4 q' Q$ b. d1 m; z/ ?, T/ J& E 6 }- o+ Q/ Z( }7 y$ a3 R" K, `5 `破解困境 3 p/ W% t2 G7 X/ Z' s1 i+ h$ {1 [! y! R
+ N) u7 K6 {& P8 W3 r$ _( z DNS安全问题的根源在于Berkeley Internet Domain (BIND)。BIND充斥着过去5年广泛报道的各种安全问题。VeriSign公司首席安全官Ken Silva说,如果您使用基于BIND的DNS服务器,那么请按照DNS管理的最佳惯例去做。3 T7 n4 I, d: P$ t7 z
, u! D$ P0 L4 E. t& x# r. i+ H+ `& x: v8 X [1 M/ M, b# w9 d4 p
SANS首席研究官Johannes认为:“目前的DNS存在一些根本的问题,最主要的一点措施就是坚持不懈地修补DNS服务器,使它保持最新状态。” ; Y$ z- `3 ?+ b# Y2 n: L% o9 m$ G5 y: @2 z
' S$ o1 ]. d$ G, |, _" l7 w
1 T! ^3 _& k3 Z* [9 w( Z Nominum公司首席科学家、DNS协议原作者Paul Mockapetris说,升级到BIND 9.2.5或实现DNSSec,将消除缓存投毒的风险。不过,如果没有来自BlueCat Networks、Cisco、F5 Networks、Lucent和Nortel等厂商的DNS管理设备中提供的接口,完成这类迁移非常困难和耗费时间。一些公司,如Hushmail,选择了用开放源代码TinyDNS代替BIND。替代DNS的软件选择包括来自Microsoft、PowerDNS、JH Software以及其他厂商的产品。' e' c8 x A6 e3 C6 U
7 b& o0 m i* m- [$ v* j7 H6 U7 P" a! c8 Y: }4 ~& l! l
不管您使用哪种DNS,请遵循以下最佳惯例:9 o9 V v4 j* ~# V
3 y" s i$ g- b( R, W _ `8 X, T9 `- o' p
1.在不同的网络上运行分离的域名服务器来取得冗余性。: F6 p: d7 B4 Z2 g: c' q
$ S; n. F0 P. T$ `
1 P( K+ {5 B- m6 j" e9 @- b$ i3 O: B 2.将外部和内部域名服务器分开(物理上分开或运行BIND Views)并使用转发器(forwarders)。外部域名服务器应当接受来自几乎任何地址的查询,但是转发器则不接受。它们应当被配置为只接受来自内部地址的查询。关闭外部域名服务器上的递归功能(从根服务器开始向下定位DNS记录的过程)。这可以限制哪些DNS服务器与Internet联系。* L. ?1 i {" z6 a$ h
4 x& g. ]4 a2 P' `
- [ c i& U5 g1 n/ O. M, r 3. 可能时,限制动态DNS更新。: v2 L( O9 m- s8 R$ d
' ~5 L; e( a- i" o+ d" g
' B. b3 t- z+ K
4. 将区域传送仅限制在授权的设备上。 8 o c1 z" ~7 _/ C# O ; U3 b% f: c R. z! A( [/ z' X( b4 o4 ^7 U& o4 w! u
5. 利用事务签名对区域传送和区域更新进行数字签名。 # F% C: N8 i" ^* i; V, L2 F7 D4 m1 Z8 h# y! E& J
% @6 F8 t% F9 D6 _, }! R 6. 隐藏运行在服务器上的BIND版本。 I* ~/ l! ?/ u! z
# H, e5 R5 t% T5 r- B