Akamai 是一家专注于网络安全和云计算的公司，致力于支持并保护在线商业活动。我们卓越的安全解决方案、出色的威胁情报和全球运营团队可提供深度防御，保护各地的企业数据和应用程序。Akamai 的全栈云计算解决方案可在全球分布广泛的平台上提供高性能和经济实惠的服务。全球多家企业坚信，Akamai 能够提供卓越的可靠性、规模和专业知识，帮助企业满怀信心地实现业务增长。
什么是 DNS 缓存中毒？
DNS 缓存中毒（也称为 DNS 欺骗攻击）是一种网络攻击。遭受此攻击时，尝试访问合法网站的用户会被重定向到其他恶意网站。当用户在网络浏览器中输入某个网站的名称时，DNS 解析器会提供相应的 IP 地址，使用户能够加载正确的网站。通过篡改或替换 DNS 解析器的缓存存储器中存储的数据，攻击者可以向用户发送假冒或恶意网站，以窃取他们的凭据或个人数据。
什么是 DNS？
DNS 用于将人类可读的网站地址（例如，example.com）转换为机器可读的 IP 地址。通过此系统，用户可以轻松地浏览网站，而无需记住用于表示每个网站的一串冗长且无意义的数字。
DNS 使用多个类型的域名服务器。权威名称服务器用于存储具体域的官方记录。递归 DNS 服务器或解析器会接收来自用户的初始请求，并在必要时向权威 DNS 服务器查询相关信息。
什么是 DNS 缓存？
为了提高 DNS 响应的速度，递归服务器会在本地缓存中存储先前请求过的信息，从而提高收到后续请求时的信息检索速度。
DNS 缓存中毒是如何运作的？
在 DNS 缓存中毒攻击中，攻击者会使用各种技术将 DNS 缓存内的合法地址替换为虚假的 DNS 地址。当用户尝试访问合法网站时，DNS 解析器会返回其缓存中的虚假地址，而该地址会劫持浏览器会话并将用户引导至某个假冒网站或恶意网站。
攻击者如何使 DNS 缓存中毒？
攻击者可能会直接劫持 DNS 服务器，将合法网站的流量重定向到恶意 IP 地址。在用户点击恶意链接后，黑客也可能会在浏览器中使用恶意软件来篡改 DNS 缓存。或者，攻击者可能会使用“中间机器攻击”将自己置于浏览器与 DNS 服务器之间，以便将请求路由到恶意 IP 地址。
攻击者如何通过 DNS 缓存中毒获益？
很多攻击者会使用缓存中毒来进行网络钓鱼活动，以及设置看起来与用户尝试访问的网站完全相同的假冒网站。当用户在该网站上输入登录凭据或敏感信息后，攻击者便会使用这些数据访问该用户的帐户并窃取钱财或数据，或者发起更大规模的攻击。
缓存中毒攻击为什么会奏效？
由于 DNS 旨在准确地返回查询结果，而不是质疑查询的动机，因此从根本上说 DNS 是不安全的协议。此外，DNS 流量通常可以穿过防火墙而不会受到检查，这使其成为了对黑客极具吸引力的攻击媒介。
缓存中毒与 DNS 欺骗有何不同？
虽然术语 DNS 缓存中毒和 DNS 欺骗通常可以互换使用，但一些人表示，中毒是攻击方法，而欺骗是最终结果。换言之，攻击者使用 DNS 缓存中毒来实现 DNS 欺骗。
如何检测 DNS 缓存中毒？
DNS 缓存中毒攻击的迹象为 Web 流量的单一意外下降，或者某个域上的 DNS 活动发生较大变化。很难手动检测出 DNS 缓存中毒，部署自动 DNS 安全工具是检测这些攻击的最有效方法。
如何防范 DNS 缓存中毒？
各企业可以通过遵循以下多项网络安全最佳实践来防范 DNS 中毒。
- 采用 DNSSEC。域名系统安全扩展 (DNSSEC) 提供了一种验证 DNS 数据完整性的方法。DNSSEC 使用公钥加密技术对数据进行验证和身份验证。
- 定期更新和修补 DNS 软件。以理想的节奏更新和修补 DNS 应用程序可降低攻击者利用已知漏洞或零日漏洞的可能性。
- 对 DNS 流量采用 HTTPS。DNS over HTTPS (DoH) 通过 HTTPS 加密会话来传递查询，以此对 DNS 流量进行加密，从而提高隐私性并隐藏 DNS 查询。
- 配置 DNS 服务器时使用 Zero Trust 方法。Zero Trust 原则要求将所有用户、设备、应用程序和请求视为已遭到入侵，除非它们经过了身份验证并持续进行验证。DNS 是重要的 Zero Trust 控制点，可以在其中对每个互联网地址进行扫描，以确定是否存在潜在的恶意行为。
- 选择速度快且能抵御 DoS 的 DNS 解析器。缓存中毒攻击依赖于延迟的 DNS 服务器响应，因此速度快的解析器有助于阻止攻击者成功实施攻击。DNS 解析器还必须拥有内置的缓存中毒控制措施。主要的 ISP 和 DNS 提供商拥有吸收 DDoS 攻击的规模。