保护性 DNS（PDNS）是一种新兴的技术，旨在通过重写 DNS 响应来阻止恶意域名的解析，从而有效地防止网络攻击。根据 Cisco 的报告，超过 91% 的网络攻击都依赖于恶意域名的解析，因此阻止恶意域名的解析可以有效地减少网络攻击。保护性 DNS 的工作原理是，当 PDNS 服务器查询一个恶意域名时，它会重写 DNS 响应，提供一个“安全”的答案（例如，解析到一个保留的 IP 地址），从而阻止恶意域名的解析。
保护性 DNS 的部署情况
保护性 DNS 的概念虽然相对较新，但已经得到了几家主要的 DNS 服务提供商的支持，例如 Cloudflare 和 Quad9。此外，包括美国、加拿大（CIRA）和欧洲（DNS4EU）在内的几个经济体也已经开始部署国家级的保护性 DNS 基础设施。最近的一项研究发现，共有 17,601 个保护性 DNS 解析器分布在 117 个经济体或地区，覆盖 1,473 个自治系统号（ASNs）。这些保护性 DNS 解析器占所有稳定的递归解析器的 9.08%。美国拥有最多的保护性 DNS 解析器，共有 6,296 个解析器 IP 地址，覆盖 208 个 ASNs。
保护性 DNS 的安全影响
尽管保护性 DNS 的部署已经较为广泛，但其安全性仍然存在一些问题。研究人员发现，保护性 DNS 的实现中存在三个关键的安全实践缺陷。这些缺陷可能会导致保护性 DNS 解析器被利用，进而影响网络安全。因此，网络运维人员和安全工程师需要注意这些潜在的安全风险，并采取措施加强保护性 DNS 的安全性。同时，保护性 DNS 的部署也需要进一步扩展和完善，以提供更好的网络安全保护。
保护性 DNS 对网络运维的意义
保护性 DNS 的出现为网络运维人员提供了一个新的工具来防止网络攻击。通过部署保护性 DNS，网络运维人员可以有效地阻止恶意域名的解析，减少网络攻击的风险。同时，保护性 DNS 也可以提供实时的保护，使得网络运维人员能够快速响应新的网络威胁。因此，保护性 DNS 对网络运维人员具有重要的意义，值得他们关注和采用。通过使用保护性 DNS，网络运维人员可以更好地保护网络安全，减少网络攻击的风险。
原文: APNIC Blog（2024-08-13）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog