什麼是DNS劫持？如何讓你的網站免遭DNS劫持？

隨著網路技術的快速發展，大規模域名系統劫持事件也在快速增長，在過去的2021年全球DNS劫持事件數量空前，這不得不引起我們對這一威脅的高度重視。那麼廣大政企網站應該如何做才能免遭DNS劫持呢？

一、什麼是DNS劫持？

我們知道DNS的主要作用就是將域名翻譯成IP地址讓計算機識別，從而實現我們輸入域名就能直接訪問對應伺服器的效果。所以在整個網路訪問過程中，DNS的作用是十分重要的。

但如果攻擊者篡改DNS解析設定，將域名由正常IP指向由攻擊者控制的非法IP，就會導致我們訪問域名開啟的卻不是對應的網站，而是一個不可達或者假冒的網站。這種攻擊手段就是DNS劫持。

二、DNS劫持有哪些危害？

DNS劫持是一種非常常見且危害極大的網路攻擊手段，對使用者而言，透過DNS劫持可以將使用者誘導至攻擊者控制額非法網站，可能會造成銀行卡號、手機號碼、賬號密碼等重要資訊的洩露。對政企而言，DNS劫持將使用者引導至其他網站，會導致使用者流失和形象受損。

在去年6月份美國政府封禁伊朗網站，採用的就是這種攻擊手段，導致伊朗幾個官網網站被指向由FBI控制的站點，對伊朗的國家形象和利益造成了很大影響。

三、為什麼DNS容易遭受攻擊 ？

考慮到大多陣列織的線上服務和運營規模，DNS是一個充滿潛在漏洞的龐大網路也就不足為奇了。廢棄的域名、薄弱的密碼控制和繁重的管理過程更加劇了這些弱點。

1.過期或遺忘的域名

由於很多公司並不重視域名的重要性，因而導致域名的管理非常混亂，經常導致域名過期或被遺忘。而這些域名是攻擊者進行DNS劫持的極佳工具。駭客透過較弱的安全賬號密碼設定，可以輕鬆取得域名的控制權，並將其指向受控的網站。

2.未使用或“孤立”的域名

很多公司為了防止域名被搶注影響公司形象，往往會註冊很多與公司名稱相關的域名進行品牌保護。但這些域名很多並不會被啟用，而這些域名很容易遭受攻擊，因為它們被遺忘在主伺服器之外並且沒有得到有效的管理。

3.域名系統安全防護問題

很多公司的域名系統密碼設定過於薄弱，駭客很容易透過遍歷方式獲得後臺密碼，取得管理許可權，進而直接修改DNS的解析記錄，將域名解析指向非法網站。

4.服務商的問題

大部分的企業都不會自建解析伺服器，而是將域名解析交給專門的DNS服務商去管理。但不同的服務商安全防護能力和服務水平也是參差不齊，較差的域名檢測和域名防護能力以及不及時的服務反饋也會導致域名被劫持而不能提前預防，及時止損。

四、如何保護您的域名系統免受劫持

1.定期修改域名管理系統賬號，設定複雜的密碼組合和手機驗證，強化管理平臺的安全等級。

2.透過設定較小的TTL值，讓遞迴伺服器在較短時間間隙進行解析請求，從而獲得最新的解析記錄，可以有效防止DNS被劫持。

3.對DNS解析記錄進行鎖定，鎖定期間DNS解析記錄不能做任何修改，從根本上杜絕了攻擊者透過修改DNS記錄進行域名劫持的目的。

4.選擇正規專業的DNS服務商，可以獲得效能較為強大的域名解析和域名監測服務，及時發現域名異常狀態並快速解決。中科三方採用最新域名安全監測系統，針對使用者域名狀態進行24小時無縫監測，第一時間發現問題，並及時作出響應，時刻為使用者的域名安全保駕護航。

5.安裝SSL證書。SSL證書具備伺服器身份認證功能，可以使DNS 劫持導致的連線錯誤情況及時被發現和終止，同時 HTTPS 協議可以在資料傳輸中對資料進行加密傳輸，保護資料不被竊取和修改。