域名城（domain.cn）6月3日消息 在剛剛閉幕的HostingCon2016全球主機大會上，中國互聯網絡信息中心（CNNIC）高級產品經理張鑫出席了本次大會，并發表了題為《DNS面臨的安全威脅和應對策略》的演講。演講中他詳細介紹了國際、國內DNS服務現狀和安全形勢，并全面分析了“互聯網域名技術國家工程實驗室”（簡稱：NATLab）的技術成果和應對策略。
?
DNS安全形勢嚴峻
據張鑫介紹， 域名系統（DNS）被譽為互聯網的“中樞神經”，它是一個分布式的域名解析系統，并通過緩存技術、樹狀分層授權結構實現域名與IP地址及郵件服務等的相互轉換。隨著互聯網的飛速發展和技術的濫用，DDoS攻擊、DNS系統漏洞攻擊、域名劫持、僵尸網絡攻擊等針對DNS的攻擊已成為影響互聯網安全的最嚴重威脅之一。
完整的域名解析由根域名解析、頂級域名解析、二級（包括二級以下）權威解析和遞歸解析四個層次構成。首先，根和頂級域名解析的管理機構都是專業機構，其中聚集了域名領域的專業人才，也有足夠的資源來建設，所以一般安全是有保障的。但也有事故發生，如在2009年10月13日，瑞典國家域名管理人員因為配置錯誤，使全部瑞典國家域名的90萬個網站在互聯網上消失。其次，在遞歸解析環節中的服務，由運營商、ISP等基礎網絡運營商提供。這個環節面臨最大的問題是分布式拒絕服務攻擊和緩存中毒。最后,二級和二級以下域名服務主要由各網站自建和注冊服務商免費提供，是目前出現問題最多的環節，各類攻擊和劫持的后果最致命。
?
企業外部域名服務存在諸多問題
域名服務的安全性很大程度上受域名解析服務器所用軟件類型及版本的影響。NATLab定期對重要域名所使用的解析服務器軟件版本類型信息進行安全掃描和統計，發現52.63%的域名服務器采用了境外開源的ISC BIND軟件，且在采用ISC BIND的域名服務器中有16.43%以上的BIND版本過低。開源軟件本身存在嚴重的安全隱患，漏洞較多，較易被黑客利用，性能也不能達到理想的狀態。
張鑫指出：“從2014年開始，針對我國域名系統的流量規模達1Gbps以上的拒絕服務攻擊事件日均約187起，約為2013年的3倍，攻擊目標上至國家頂級域名系統，下至CDN服務商的域名解析系統?！?/div>
此外，DNSSEC、IPv6、IDN等新技術的應用已是大勢所趨，這對于企業域名系統來說意味著新的挑戰。企業原有域名系統如果無法支持下一代互聯網技術，將意味著企業網站在新的網絡平臺上無法使用。因此如何讓當前的域名系統適應下一代互聯網平臺，是企業需要站在長遠角度思考的問題。
?
實踐創新全面布局，護航DNS安全
據了解，互聯網域名技術國家工程實驗室（NATLab）由中國互聯網絡信息中心（CNNIC）牽頭組建，該實驗室是我國互聯網域名領域的第一個國家工程實驗室，旨在通過名址協議、域名數據管理、域名安全服務、互聯網應用分析等技術研究，加快網絡與信息安全技術創新，促進互聯網行業發展。
近期，基于NATLab一系列技術研究成果，SDNS云解析平臺完成了一次重大的升級，海外多節點的BGP+AnyCast技術實現用戶多維度的區域劃分，全球用戶解析就近響應。此外，每個節點均改造為由幾十臺設備組成的DNS服務集群，抗攻擊能力大幅提升。
“DNS是一個非常龐大、復雜的互聯網基礎服務設施，牽一發而動全身，不是某一個點做好就可以高枕無憂?！睆場胃锌卣f：“我們有一個比較宏大的目標，要依托于‘互聯網域名技術國家工程實驗室’這個國家級創新平臺，構建一個安全可信的DNS服務體系。我們在.CN的運行管理上做了很多積累，應該把好的經驗和技術推廣到更大的領域，服務全行業，包括遞歸、權威以及整個DNS體系。”
近年來，為不斷強化國家域名系統基礎設施的建設，CNNIC聯合NATLab推出了一系列產品和服務，完成從根技術研究，到新頂級域名服務，再到二級及二級以下域名服務的整體產業布局，自主研發的SDNS云服務平臺已成為國內知名的商用DNS解析托管服務平臺；域名解析專用服務器設備也成為國產設備采購的首選品牌。SDNS系列產品與服務目前在金融、廣電、政府等重要行業中廣泛應用，尤其是最新推出的DNS高性能解決方案，可大幅提高DNS服務器的安全性和解析性能，特別適用于對網絡信息安全要求較高的注冊局和IDC。
?
(編輯：小酷)
