DNS Operations, Analysis, and Research Center（DNS-OARC）是一个汇集DNS服务运营商、DNS软件开发者和研究人员的平台，他们通过定期的研讨会分享信息、讨论DNS的运营和发展。最近一次研讨会在2024年10月于布拉格举行，会议上讨论了多个与DNS相关的安全问题。
DNS作为攻击平台
Akamai的Richard Meeus提出了一个令人担忧的统计数据：2024年第三季度，约65%的分布式拒绝服务（DDoS）攻击都利用了DNS，包括DNS资源耗尽攻击和DNS反射攻击。这些攻击手法并非新颖，资源耗尽攻击尝试通过大量查询耗尽DNS递归解析器或权威DNS服务器的资源，而DNS反射攻击则利用DNS中响应可以大于查询的特点，通过使用受害者的IP地址作为攻击流量的源地址，劫持DNS服务器向受害者发送大量流量。这种攻击的趋势显示出攻击强度随时间推移而增加，频率也越来越高。
应对措施与挑战
对于这些攻击，传统的应对措施是增加服务器的容量，使得攻击者难以生成足够大的查询负载来耗尽服务器资源。然而，这种措施会导致攻击和防御的升级，高容量的防御措施会激励攻击者进行更强烈的攻击，从而进一步推动防御措施的升级。这种升级的结果是，只有最大的平台运营商才能提供有效的防御，而这也会进一步促进DNS基础设施的集中。值得注意的是，一些学术安全研究人员可能在无意中促进了新攻击方法的发展，他们认为，为了提高安全性，需要深入了解漏洞，包括展示如何利用这些弱点。
结论与影响
综上所述，DNS安全面临着多个挑战，包括DDoS攻击、资源耗尽攻击和DNS反射攻击等。为了应对这些挑战，运营商和研究人员需要共同努力，开发和实施有效的防御措施。同时，学术安全研究人员也需要谨慎地考虑他们的研究可能带来的影响，避免无意中促进攻击方法的发展。对于网络工程师和运维人员来说，了解这些安全挑战和应对措施对于确保网络安全和稳定至关重要。
原文: APNIC Blog（2024-11-19）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog