防止域名劫持的7个步骤

 

    域名劫持，是指客户原本准备访问某网站在不知不觉中被劫持到仿冒的网站上。举例来说，某用户准备访问一家知名品牌的网上商店，黑客就可以通过域名劫持的手段，把其带到假的网上商店，同时收集用户的ID信息和密码等。

　　这种犯罪一般是通过DNS服务器的缓存投毒(cache poisoning)或域名劫持来实现的。最近几个月里，黑客已经向人们展示了这种攻击方式的危害。今年3月，SANS Institute发现一次将1,300个著名品牌域名改变方向的缓存投毒攻击，这些品牌包括ABC、American Express, Citi和Verizon Wireless等;1月份，Panix的域名被一名澳大利亚黑客所劫持;4月，Hushmail的主域名服务器的IP地址被修改为连接到一家黑客粗制滥造的网站上。

　　缓存投毒和域名劫持问题早已经引起了相关机构的重视，而且，随着在线品牌的不断增多，营业额的不断增大，这一问题也更加突出，人们有理由担心，骗子不久将利用这种黑客技术欺骗大量用户，从而获取珍贵的个人信息，引起在线市场的混乱。

　　虽然，域名劫持在技术上和组织上解决起来十分复杂。但是在目前情况下，我们还是可以采取一些措施，来保护企业的DNS服务器和域名不被域名骗子所操纵。不管您使用哪种DNS，请遵循以下最佳惯例：

　　1、在不同的网络上运行分离的域名服务器来取得冗余性；

　　2、将外部和内部域名服务器分开(物理上分开或运行BIND Views)并使用转发器(forwarders)。外部域名服务器应当接受来自几乎任何地址的查询，但是转发器则不接受。它们应当被配置为只接受来自内部地址的查询。关闭外部域名服务器上的递归功能(从根服务器开始向下定位DNS记录的过程)。这可以限制哪些DNS服务器与Internet联系；( )

　  3、将区域传送仅限制在授权的设备上；

　　4、 利用事务签名对区域传送和区域更新进行数字签名；

　　5、 隐藏运行在服务器上的BIND版本；

　　6； 删除运行在DNS服务器上的不必要服务，如FTP、telnet和HTTP；

　　7、 在网络外围和DNS服务器上使用防火墙服务。将访问限制在那些DNS功能需要的端口/服务上。