在考虑如何将DNS解决方案融入现有环境时，安全性可能并不是首先想到的问题。毕竟，DNS常被称为“互联网电话簿”，而电话簿和安全性又有多少机会被同时提及？尽管DNS实际上是日常互联网交互的支柱，但它并不显眼。或许正因为DNS服务无处不在，它也经常成为分布式拒绝服务（DDoS）攻击的目标。随着此类攻击日益复杂和频繁，保护这一互联网基础设施基石的要求也随之提高。
DNS DDoS攻击：无论名称如何，都会造成流量中断
关于DNS DDoS攻击，还有什么是尚未提及的？这类攻击形式多样，规模从造成“不便”到足以“让互联网瘫痪”，或至少让其中一部分瘫痪。“DDoS”是一个统称，涵盖多种混入合法应用流量、导致服务中断的网络和应用攻击。以下是4种较常见的大规模攻击：
DNS放大与反射攻击将DNS本身变成武器，利用DNS服务器的开放性放大攻击流量，就像对着峡谷大喊，利用回声放大声音一样。
NXDOMAIN攻击会向服务器大量发送针对不存在域名的请求，形成如同大量“拨错号码”般难以察觉的嘈杂流量，导致服务运行缓慢。
随机子域名攻击通过请求大量不存在的子域名来制造意外干扰，使DNS解析器难以应对。
DNS洪水攻击会向一台或多台服务器大量发送看似合法的流量，试图凭借巨大的流量使系统不堪重负。
无论是DNS洪水攻击、子域攻击、NXDOMAIN攻击，还是放大和反射攻击，其表现形式虽各不相同，但目的都是利用过量或异常流量，阻止合法用户访问业务关键型应用。这些攻击也并非总是单独发起。事实上，DNS DDoS攻击还可充当烟幕，掩盖其他恶意活动。随着数字化转型不断推进、物联网设备日益普及以及5G网络接入范围持续扩大，攻击者如今可以利用比以往更多的技术和互联网连接，对DNS服务实施恶意攻击。该如何应对？
多向量攻击，多向量安全防护
将DNS定位为环境中应用交付的起点，确实需要团队同时将其视为安全防护的起点，即使传统上DNS服务通常不被视为安全解决方案。
可以从三项相关功能的角度来理解安全性：可扩展性、高可用性和恶意流量管理。这些功能都会主动处理流量，确保正确的流量畅通无阻地到达目标位置。
可扩展性：设想一种能够根据激增的流量需求自动扩展的基础设施，让服务维护团队能够更早着手检测DDoS攻击。即使遭遇大流量攻击，它也能确保合法用户仍可在受到极少干扰的情况下完成DNS查询解析，就像一座能在交通高峰期增加车道以避免拥堵的桥梁。DNS服务具备扩展能力还意味着，突如其来的流量高峰，无论是否为恶意流量，都不会压垮后端资源，导致服务瘫痪。
高可用性： 可扩展性还应考虑另一个维度，尤其是在DNS安全场景中：攻击可能导致资源离线，因此需要DNS服务在攻击期间持续提供不间断的解析。如果该服务依托遍布全球的接入点（PoP），其服务器网络便可通过无缝故障转移至指定资源来实现智能流量管理，确保用户能够访问，并防止攻击者发现和利用单点故障。此解决方案的另一种形式是将基于云的DNS服务与本地部署的DNS服务配合使用，将二者部署为一组动态的DDoS防御组合，既可分担负载，也可将其中一项DNS服务作为另一项的备份。
恶意流量管理：除了可扩展性和高可用性，DNS服务还应具备高级恶意流量管理能力。此类服务利用实时分析和威胁情报，可帮助管理员在恶意流量造成危害之前识别并加以处置。可以将其想象成一个滤水器，能够区分清洁水流和受污染的水流，只让清洁水通过。同样，只允许“干净”流量通过网络，可以提前检测并丢弃恶意流量，防止其到达攻击目标，从而释放资源，使目标无需处理无效数据包，并有助于提高应用可用性。
这些安全方法从三个方面协同缓解恶意流量。它们可以扩展容量，可以转移流量，还可以丢弃流量。在单一方法可能存在不足的方面，它们还能相互补充。高可用性并不一定意味着高可扩展性，反之亦然。不过，部署一种结合这三种方法的应用交付策略，可以快速构筑一道抵御恶意流量洪泛的坚实防线。
在实践中，要在DDoS攻击等挑战下实现稳健的应用交付，通常需要结合多种策略和技术，例如智能流量管理、分布式架构和自动故障转移机制。F5 Distributed Cloud DNS可以作为构建此类环境的第一步，为分布式应用提供支持。
如需进一步了解具体方法，请联系我们。
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。