顶级域名瘫痪 DNS安全管理要去哪儿

1月21日下午3点，国内通用顶级域的根服务器忽然出现异常，导致全国约三分之二的互联网域名解析系统DNS(Domain Name System)服务器解析失败，数千万网民无法顺利上网。根域名服务器(Root Name Server)是DNS中最高级别的域名服务器，全球仅有13台根服务器。其中，主根服务器(A)美国1个，辅根服务器(B至M)美国9个，瑞典、荷兰、 日本各1个。相关专家团队通过对DNS跟踪测试分析，全球至少有两个根服务器遭到污染，导致国内大量网站无法正常访问。

DNS解析的作用相当于导航仪或是指路牌，将用户查询的网站域名指引到正确的IP地址上。DNS劫持有可能造成两方面的危害，一是网页无法正常打 开，另一方面如果黑客利用DNS劫持将正规网站劫持到钓鱼网站上，就有可能诱骗用户登录，造成信息泄露乃至财产损失。不过此次事件中，大批网站均被劫持到 65.49.2.178这个IP上，而此IP没有仿冒官网诱骗登录，因此也没有出现盗取网银等情况。

今年1月3日，雅虎广告系统及其所有客户遭受了恶意软件注 入攻击事件的影响。调查显示，恶意广告在2013年12月30日至2014年1月3日间发起攻击。在此期间，访问yahoo.com网站的用户受到了恶意 广告的攻击，其通过受攻击者浏览器的Java扩展对其系统安装恶意软件继而发起攻击。该恶意软件通过雅虎的广告服务器短时间内攻击了大量客户。据估计，装 有恶意代码的网站约每小时被访问300,000次，每小时约造成27,000次感染。据报道，英国、法国和罗马尼亚是本次受攻击最严重的国家，原因可能是 由雅虎的恶意广告配置造成。

国内外近期频繁发生的重大互联网安全事 件，似乎都指向同一关键词DNS。这个曾鲜为人关注的领域，一时成为最热门的话题，国内行业专家一致惊呼，中国域名系统安全建设已迫在眉睫!反响之所以如 此强烈，是由于DNS服务被黑客攻击后，会造成互联网的导航系统全面中断或全面混乱。故障之一便是大面积断网，另一大风险则是被钓鱼网站欺诈。黑客可能将 正常网站的域名解析到错误的地址，一旦黑客在此目标地址搭建一个钓鱼网站，网民输入的帐号密码信息则会轻易被盗。

在这一事件中，几层保护似乎没有起到作用：访问yahoo.com的客户收到ads.yahoo.com提供的广告。其中一些广告是恶意的，带有恶意域名托管的内置框架。Yahoo广告服务器未能识别并拦截来自恶意域名的内置框架的攻击。

访问恶意广告时，用户被重新指向一个上面提到的“Magnitude”威胁工具。该工具利用了一系列Java漏洞并绕过浏览器调试工具防护，然后在 目标系统上安装了许多不同的恶意软件。由于网站普遍采用Java扩展，因此仍然有相当多的浏览器允许执行来自非信源的Java代码。而这一弱点恰恰被黑客 所利用。

防病毒软件类的本地监测机制监测到由这一威胁工具安装的复杂恶意软件组合的比率比较低。安装的恶意软件会持续改变其二进制代码，并利用其它隐形技术持续避免被签名授权的本地监测引擎监测到。

同样地，由于恶意软件是由最近注册的域名利用新的内容模式发送的，因此绝大多数防火墙和IDS/IPS无法发现。恶意软件能够在雅虎和/或安全调查人员发现并解决该事件前的短时间内进行大量传播，这说明了该问题的严重性，也暴露了传统防御机制的诟病。

从2013年起，大量家用无线路由器的安全漏洞被发现，访问某个特定的攻击网页，路由器的DNS配置会立刻被篡改。受害网民使用某购物网站购物时， 就会被强制浏览到某个推广站，攻击者可因此获得大量利益。也有些区域运营商使用DNS强行在用户电脑上网时弹出广告。而本次DNS故障，导致国内三分之二 网站的DNS服务器解析失败，全国多达数千万网友无法正常访问网站。

如果在一段时间内，我国依然未建立起完善的针对DNS的监控及灾备系统，未来还将可能发生此类故障。由于根域名服务器全部分布在美国、日本和欧洲， 我国对根域名几乎没有掌控权，所以一旦根域名出现故障，我国所有域名解析和网站访问将遭受毁灭性的影响。笔者认为，应尽快在国内着手建立根域名目录服务 器;同时，亟需从国家政策层面建立一套完善的针对DNS的监控及灾备系统。