DNS目前為止面臨的安全挑戰(zhàn)主要有幾個方面：

　　第一是軟件漏洞。主要的漏洞包括緩沖區(qū)的移出漏洞，黑客可以使用簡單的查詢命名，就可以讓整個服務(wù)器宕機，借此獲得整個服務(wù)器的權(quán)限。

　　第二是DNS欺騙。常見的幾種方式，比如說緩存投毒，包括DNS劫持。

　　第三是DDOS攻擊。分成很多種形式，比如說用流量攻擊的形式等。

　　在保證DNS服務(wù)安全方面，可分為四個方面：

　　首先，檢查是否是軟件服務(wù)器方面的安全。我們需要定期的更新相關(guān)的服務(wù)器，一旦官方報出一些高危漏洞的時候，我們需要及時地彌補它。采取一些認(rèn)知審核，包括遠(yuǎn)程登錄的端口，各種方式保證服務(wù)器本身的安全。

　　再有就是預(yù)警和監(jiān)控。我們需要在DNS采取7×24小時的監(jiān)控。包括服務(wù)器的本身的響應(yīng)速度上面都需要有安全的循環(huán)和安全的人員做相應(yīng)的監(jiān)控。

　　然后就是網(wǎng)絡(luò)安全。現(xiàn)在針對DNS的攻擊大部分都是像DDOS，或者是查詢工具。

　　最后是建議域名提供商采用多點部署的方案，盡量不要采用單點部署。例如某一個數(shù)據(jù)中心出問題的時候，那么肯定DNS服務(wù)就完全中斷了，采用多點部署，比如幾個不同的數(shù)據(jù)中心部署不同的DNS服務(wù)器，就算有某一個數(shù)據(jù)中心由于物理連接出問題，至少有其他的數(shù)據(jù)中心能夠保證服務(wù)的延續(xù)。

　　比如說某個數(shù)據(jù)中心內(nèi)部的立體式防護，整個互聯(lián)網(wǎng)的接入，從柜機交換機下來以后第一層是防火墻的保護，主要做的上層的大流量的清洗，通過這層防火墻的過濾，可以把大部分攻擊過濾掉，通過第二層保護，是針對DNS服務(wù)器本身的防御。DNS網(wǎng)關(guān)是我們目前正在研發(fā)中的一個產(chǎn)品，它有幾個比較重要的功能。比如我們DNS網(wǎng)關(guān)可以針對域名查詢的一些數(shù)據(jù)做一個基礎(chǔ)的建模。比如說單位時間內(nèi)域名解析的總量，整個DNS域名服務(wù)器解析的總量，單位時間內(nèi)域名請求失敗的總量，也可以做一個單位時間內(nèi)的建模。再有單個域名查詢總量的一個數(shù)據(jù)，當(dāng)這三個數(shù)據(jù)有異常的時候，DNS網(wǎng)關(guān)可以針對這個情況做特殊處理。比如說對管理人員報警，有各種聲音的方式、短信的方式、郵件的方式，告訴DNS管理員它已經(jīng)出現(xiàn)異常了。到底是遇到了DNS攻擊還是流量攻擊，這種情況下對于我們判斷具體的攻擊情況是非常有幫助的。正常的DNS工具有兩種情況，一種是偽造IP的海量查詢，還有一種是真實IP的查詢。通過DNS網(wǎng)站都可以對這兩種查詢做一個基本的判斷。那么在三層防火墻上通過智能的保護切換，包括IP也好，域名也好，這是我們部署的一個方案和建議。