近年來，針對DNS的攻擊已成為企業最常見且最危險的網路安全威脅之一。根據網路安全公司EfficientIP進行的研究，去年有79％的組織受到DNS攻擊，平均使他們付出了924,000美元（782,000英鎊）的代價。隨著企業數位轉型的加速，加上網路互連的生態系統不斷擴大，可預見未來此類型的攻擊將會變本加厲，處理上的難度也會大幅增加。
企業內部大多數網路流量都是透過DNS進行，因此分析用戶行為可幫助企業檢測並監視威脅，透過詳細監控這種威脅，從而成功實施零信任戰略（zero-trust strategy）。
根據本文內容，企業在面對DNS攻擊時，可以預做以下準備：
- 將 DNS 及監控與報告系統整合，可直觀了解應用程式及網路流量，便於組織輕鬆觀察 DNS 配置更改及流量模式的轉移，進而找出關鍵的危害指標。DNS 也可提供網路圍欄，防止網站接收到可疑的流量。
- 啟用DNSSEC，透過對DNS紀錄進行數位簽章及驗證來保護紀錄的完整性，確保使用者不會接收到攻擊者輸入的偽造信息。
- 零信任安全防護雖然可以防止內部資料外洩，但因為DNS攻擊可能具有破壞性，因此外部DNS需要與內部網路具有同等級的保護。
- DNS過濾與阻斷雖可阻止初始有效負載階段的勒索軟體攻擊，然而目標攻擊仍可逃避 DNS過濾，因此建議使用零信任資料存取控制，以防止並最小化勒索軟體造成的損害。
文末作者重申，組織經常忽略DNS的安全性，但是針對企業的網路攻擊卻越來越多，保護DNS將有助於企業在網路遭受到嚴重破壞之前主動偵測，進而抵禦攻擊。
原文連結：https://www.computerweekly.com/feature/Why-securing-the-DNS-layer-is-crucial-to-fight-cyber-crime
Photo created by freepik
