美国半个互联网瘫痪对开发者使用DNS的启发

美国时间的10月21日清晨7点开始，美国Dynamic Network Service公司的DNS服务器遭受了大规模分布式拒绝式服务（ddos：Distributed Denial of Service）攻击，Dyn公司是美国的主要DNS服务商，ddos攻击导致Dyn的DNS解析服务瘫痪，用户无法解析到目标网站的IP地址，引起Twitter、Tumblr、Spotify、Airbnb、Github、PayPal等众多站点无法访问，美国国土安全局、FBI也开始调查此事。

DDos攻击是互联网中常见的一种攻击手段，黑客向某些服务器、个人PC、智能设备植入DDos攻击程序后，控制所有机器同一时间对目标网站发起流量攻击，被攻击的网站瞬间带宽被占用，正常用户则无法访问，此次Dyn公司遭受的攻击大量则来自物联网设备，日常生活中日益增多的智能设备，被黑客利用其中的安全漏洞作为DDos攻击中的肉鸡，攻击方式简单直接又野蛮粗暴，黑客作案成本低、门槛低，已经成为一条高度成熟的产业链。

目前国内提供域名授权解析服务主要的分为以下几种类型，每种类型都有各自的优缺点，这里主要谈论解析安全相关问题。

授权DNS解析服务作为域名注册商的附带服务，一般只提供基本的解析服务，不会或很少提供附加服务，典型如新网、易名中国等，目前是主要存在以下特点。

域名DNS受到攻击时不能提供抗攻击服务。
稳定性难以保证，DNS解析服务经常出现异常。
域名鱼龙混杂，受攻击可能性很高，可能会影响正规域名的解析。
非核心业务，受重视程度不够，出现安全问题的响应不够及时。
解析服务器配置存在安全隐患，如开启域传送、any查询等，容易造成内部信息泄露或被利用作为反射放大攻击。
企业和开发者们，如果是为重要的业务进行解析，尽量不要选择这类型的DNS服务。

专注提供域名授权解析及相关服务的第三方企业，国内此类服务商腾讯云DNSPod、新万网解析、DNS.com、cloudxns等，此类企业因为专一性很高，所以针对DNS遇到的各类安全问题通常都有比较完善的解决方案，且有专业的DNS团队来解决突发的安全问题。
以腾讯云DNSPod为例，为近125万用户、1100万域名提供服务，日处理DNS请求超过350亿次，据统计，平均每日都会有超过30次的攻击，并且历经了各种类型的DNS攻击，所以针对DNS遇到的各类安全问题通常都有比较完善的解决方案，且有专业的DNS团队来解决突发的安全问题，下面介绍几个典型案例：

和这次Dyn攻击事件非常相似，当年由于暴风影音的DNS机制缺陷，解析失败会无限重试，而且全国装机量非常大，被DDos攻击后递归DNS失败，导致运营商DNS被压垮，南方大范围断网。
攻击类型：DNS FLOOD、SYN FLOOD等
首选策略：CNAME防护（主动探测）或IP重传（被动探测）
备选策略：IP限速、域名限速、黑名单等

攻击类型：ANY/TXT/MX等记录类型放大
首选策略：源端口过滤、源IP过滤/限速
备选策略：禁止any查询、黑名单等

全国范围内的网络异常，攻击源有共同特征，包含大量物联网设备，和此次Dyn攻击事件的攻击源类似。
攻击类型：随机子域名方式
首选策略：域名响应限速、域名请求限速
备选策略：机器学习过滤随机域名、停止泛解析、源IP限速等

自主研发第六代DNS服务器（DKDNS），辅以强大的Intel 82599EB 10GE网卡和DPDK开发套件，单机测试最高性能达到了1820万QPS，线上性能1100万QPS，并以8台服务器为一组组成了多个四层负载均衡集群，专制各种DDoS。
针对DDos攻击，建立了包括大带宽、大规模分布式部署、专用防护设备、多种针对性防护策略、高性能DNS服务处理程序在内的防护体系，针对同时多个域名攻击支持高达200G的域名攻击防护能力，历史处理域名攻击峰值超过600G，针对单域名攻击的ddos防护能力超过1T
宙斯盾防护系统全覆盖，并创建了多种专利防护算法，对不同的攻击形式采用针对性的防护策略和算法

目前规模较大、资源充足的公司会选择自建DNS，仅供本公司业务使用，不会被其他域名的DNS攻击影响，目前BIND（Berkeley Internet Name Domain）是目前世界上应用最为广泛的开放源码的DNS服务器软件。
关注DNS安全的开发者可能已经了解到，近期DNS服务器软件BIND的CVE-2016-2776漏洞被发现会导致远程拒绝式服务（Dos：Denial of Service）攻击，上个月才得以修复，而利用该漏洞构建特定的访问却能导致BIND主进程的崩溃。所以自建DNS也有一定的安全风险，需要关注以下几点：