域名系統的保安

什麼是域名系統 (DNS)？

域名系統（Domain Name System），簡稱DNS，負責把人類可讀的互聯網域名及主機名稱（例如 www.example.com）與電腦可讀的互聯網規約（Internet Protocol，簡稱 IP）地址（例如「93.184.216.34」）進行轉換。互聯網是一個基於 IP 地址的網絡，而 DNS 就像互聯網的目錄或電話簿。以下例子解釋 DNS 如何運作：

當用戶瀏覽互聯網時，只須簡單輸入域名（例如 www.example.com），電腦會向DNS解析器（通常由互聯網服務供應商（Internet Service Provider, 簡稱 ISP ）提供）發出請求，以獲取該域名所對應的 IP 地址。

DNS 解析器將收到的請求轉發至 DNS 權威伺服器，以找出該網站相應的 IP 地址。

DNS 權威伺服器將該域名轉換為其託管的 IP 地址，並回覆 DNS 解析器。

DNS 解析器將所請求域名的 IP 地址回覆電腦，同時亦暫存該結果，以供日後收到有關同一域名的請求時使用。

電腦連接至該 IP 地址，讓用戶瀏覽有關網站。

域名系統的運作的圖像

DNS的保安威脅及影響

常見的 DNS 保安風險

DNS 沒有內置的保安功能，因此 DNS 數據可能會被竄改。如 DNS 的答覆被竄改，用戶可能會被轉至惡意網站。如電腦受惡意軟件感染，便可能危及儲存在電腦內的資料。下表撮述了一些常見的 DNS 保安風險。

保安威脅	簡介	對用戶的影響
域名系統緩存中毒	惡意攻擊者利用 DNS 伺服器的漏洞注入欺詐訊息，把用戶轉至惡意網站	受到惡意網站內的惡意代碼感染，可能導致資料外泄或進一步被利用以發動網絡攻擊
拒絕服務攻擊	惡意攻擊者製造大量互聯網流量，企圖令目標 DNS 伺服器不勝負荷，導致其 DNS 服務質量下降或中斷	可能因 DNS 服務質量下降和停用而無法使用互聯網服務
誤植域名	惡意攻擊者註冊一個跟目標域名差不多相同的域名，企圖誤導用戶瀏覽惡意網站	受到惡意網站內的惡意代碼感染，可能導致資料外泄或進一步被利用以發動網絡攻擊
領域名稱系統仿冒	惡意攻擊者利用虛假資料假冒 DNS 回覆，把用戶轉至惡意網站	受到惡意網站內的惡意代碼感染，可能導致資料外泄或進一步被利用以發動網絡攻擊