目前存在一种称为“ SAD DNS”的新威胁，攻击者可以利用该威胁重定向流量，使公司面临网络钓鱼，数据泄露，声誉受损和收入损失的风险。

什么是SAD DNS？

SAD的中文含义是令人难过沮丧的意思，但是这不是域名系统（DNS）令人沮丧，而是研究人员发现的一种新发现的威胁的缩写，即“ Side-channel AttackeD DNS”（ 侧通道攻击DNS），可以恢复DNS缓存中毒攻击。

什么是DNS缓存中毒，为什么会构成威胁？

DNS的操作流程就像互联网的电话簿一样，将域名转换为IP地址，因此用户可以轻松地查找带有名称而不是数字字符串的网站。

1、当用户在浏览器中输入域名时，它会将查询请求发送到递归名称服务器上，例如由您的互联网服务提供商（ISP）或公共DNS托管的名称服务器，就像咖啡馆的无线路由器一样。

2、首先，该服务器或解析器触发向各种名称服务器（根DNS，注册局，最后是权威DNS）发出一系列查询请求。

3、最终，该服务器收到IP地址中的响应，以在浏览器上显示网站。

为了提高效率，现在将这个IP地址存储在解析器中，以在下次收到相同查询时返回到相同地址，这便称之为缓存。存储此数据意味着下次有人请求域名的IP地址时，它可以从自己的记录中非常快速地被调取出来。缓存的保留时间取决于区域文件中详细设定的生存时间（Time to Live, TTL）。

正是这种数据缓存方式可能遭到破坏。在DNS缓存中毒中，攻击者破坏了解析器（在本例中为ISP），然后返回一个欺骗性的IP地址，该地址会将用户发送到错误的位置，例如欺诈性网站，而不是用户预期的合法网站。因此，用户在输入一个合法域名时可能会不经意间登陆到网络钓鱼网站上，或者是一个恶意软件的网站。借助重新路由流量的能力，攻击者可以窃听，窃取数据并篡改通信。

DNS缓存中毒是一种新的攻击方式吗？

不是的。2008年安全研究员Dan Kaminski就发现了DNS协议中这种漏洞。他注意到DNS的架构方式存在一个缺陷，只有65,536个唯一的交易ID，伴随着每个用于验证的DNS查询。这使攻击者可以使用带有交易ID的伪造DNS响应来向解析器泛洪，通过蛮力方法猜测DNS查询的正确交易ID，并将自己的恶意欺骗IP地址插入DNS响应中。

如何缓解DNS缓存中毒？

可以通过两种缓解措施来阻止此类攻击：

（i）域名安全扩展（DNSSEC）

DNSSEC使用基于公共密钥加密的数字签名来验证DNS数据的真实性[1]。

（ii）源端口随机化

DNS解析器需要交易ID（它是有限的）和源端口号来验证请求。源端口号可以是随机的，由于验证时有无限多的排列组合，使攻击者无法破解。

DNS缓存中毒的死灰复燃

加利福尼亚大学和清华大学的研究人员最近发现了DNS解析器中的一个漏洞，攻击者可以在该漏洞中将数据（UDP数据包）发送到DNS解析器，并根据解析器在这个侧通道中的（ICMP）响应，通过蛮力猜测正确的源端口。掌握了已知的源端口和有限的交易ID，再加上DNSSEC在全球范围内的采用率较低，攻击者现在可以再次进行DNS缓存中毒攻击了。

那么公司如何保护自己免受DNS缓存中毒的侵害？

人们提出了各种建议，然而，自2000年以来，有一种有效的缓解措施基本上被忽视了--DNSSEC。

几十年来，DNSSEC的采用率并没有明显提高。在我们的《2020年域名安全报告》中，福布斯全球2000强企业中DNSSEC的采用率仅为3%!

"互联网之父"Vint Cerf说过："业界还需要更快地推动采用域名系统安全扩展，即DNSSEC，以消除DNS系统的欺骗行为。这是一种验证在域名查找过程中获得的域名和IP地址组合是否来自可识别来源的方式，并经过数字签名以保证浏览器使用正确的目标地址来访问预期的网站。域名注册商和托管服务提供商应使网站所有者只需简单一步即可为其站点启用DNSSEC 。"

SAD DNS对全球公司构成了现实而直接的威胁，这些公司现在应该通过其DNS提供商升级DNSSEC的实施。

如果您担心您的DNS安全控制不足，请联系我们进行咨询。