想確保您的 DNS 設定沒有削弱您的安全性或網絡效能嗎？GREYCORTEX 專家根據無數次網絡稽核的經驗，突顯了最常見的錯誤。本指南將透過實用範例和清晰的修復步驟，為您詳細解析這些問題。
DNS 所扮演的角色遠不止解析名稱到 IP 位址這麼簡單。它決定了用戶被重定向到何處，並揭示了設備連接到哪些伺服器。DNS 流量具有強大的威力：無論誰控制或攔截它，都可以重定向使用者、探測內部服務或提取敏感數據。這就是為什麼 DNS 仍然是網絡安全中最容易被忽視但影響力最大的環節之一。
不受限制的 DNS Port 53 帶來的安全風險
在許多網絡中，對外 Port 53 被完全開放，這意味著內部網絡上的任何設備都可以連接到網際網路上的任何其他設備。這種關鍵的漏洞允許攻擊者建立 DNS 隧道，在其中傳輸任意數據，這些數據通常隱藏在 DNS 查詢中。例如，使用像 Iodine 這樣的軟體，他們可以建立從網際網路到內部網絡的反向 SSH 隧道，從而創建永久、未被偵測的存取權限。
從分析師的角度來看，這看起來像是與合法 DNS 伺服器的正常通信，但仔細觀察數據模式——例如不斷變化的三級域名 (例如：`freemovies.tk`) 或使用異常的記錄類型 (例如 `rrtype` 屬性中的 NULL)——則暴露了隧道企圖的存在。
來自 GREYCORTEX 專家的修復提示：
- 封鎖 Port 53 的對外連線，只允許您的 授權 DNS 伺服器 使用。
- 監控 DNS 日誌，尋找異常，例如不尋常的三級域名模式或意外的記錄類型。
- 將重複出現的 NULL 或其他罕見的 `rrtype` 值視為隧道企圖的強烈指標。
當 Port 53 確實需要時： 如果必須為企業解析器或授權的外部安全 DNS 供應商保持 Port 53 開啟，則僅將其限制於這些受信任的解析器。此外，對試圖直接解析到網際網路 DNS 伺服器的設備進行稽核，因為這通常預示著惡意軟體活動。
不受控制的加密 DNS (DoH 和 DoT)
加密 DNS 協定，如 Port 443 上的 DNS over HTTPS (DoH) 和 Port 853 上的 DNS over TLS (DoT)，旨在保護用戶隱私，但在企業網絡中卻造成了重大的盲點。它們將 DNS 流量隱藏在加密會話中，阻礙了檢查和安全政策的執行。攻擊者可以利用這些方法來傳輸數據、繞過企業解析器或維持持久性。
雖然 DoT (Port 853) 通常更容易封鎖，但 DoH (Port 443) 更難控制，因為它偽裝成正常的 HTTPS 流量。
來自 GREYCORTEX 專家的修復提示：
- 封鎖 Port 853 的對外連線，除非政策明確要求。
- 監控 TLS 流量，尋找 Port 443 內部 DoH 使用的特徵和模式，如果這些流量構成不必要的安全風險，則封鎖這些特定的 DNS 域名。
使用未註冊或外部域名
在稽核過程中，專家發現有企業創建了次級域名 (例如 `company2v.com`)，但卻未能註冊或控制它們。當管理員透過 Windows 群組原則 (GPO) 設定代理伺服器時，工作站嘗試連線到一個不存在的、由外部持有的域名 (例如 `wpad.company2v.com`) 來獲取設定。
由於外部實體控制著該域名，他們可以將內部的企業設備重定向到網際網路上的任何伺服器，從而開啟中間人攻擊的大門—以合法更新的名義傳輸惡意軟體。一個域名註冊上的小疏忽，演變成了一個直接的攻擊路徑。
來自 GREYCORTEX 專家的修復提示：
- 始終註冊並控制所有與您內部命名方案相似的域名。
- 稽核您網絡上正在使用的域名，並確認所有權。
- 密切關注像 `wpad.domain.com` 這樣自動生成的名稱，攻擊者經常濫用它們。
DNS 伺服器 IP 位址的拼寫錯誤
並非所有的 DNS 錯誤都源於複雜的攻擊；有時，它們只是簡單的人為錯誤。DNS 伺服器配置中的拼寫錯誤——例如錯誤輸入 Google 的解析器或私人 IP 範圍——經常被發現。
雖然用戶系統會快速捕捉到這些錯誤，但對於手動配置的設備 (如 IoT 設備) 來說，錯誤可能會持續存在而未被察覺，從而阻礙關鍵更新或造成隱藏的通信故障。在最壞的情況下，一個拼寫錯誤可能會解析到網際網路上的合法 DNS 伺服器，導致內部查詢洩漏到公司網絡外部。
來自 GREYCORTEX 專家的修復提示：
- 使用集中式配置管理 (如 GPO 或 RMM 工具) 來減少手動輸入 DNS 造成的錯誤。
- 持續監控 DNS 流量，以檢查失敗的查詢目標或異常的外部通信。
為何 DNS 衛生需要持續關注
如果 DNS 為攻擊者提供了入口，現代攻擊者就不需要突破防火牆。Port 53 上不受限制的查詢、隱藏在 DoT/DoH 內的隧道、未註冊的域名或配置錯誤的伺服器，都為持久性或數據外洩提供了靜默通道。持續的稽核和長期監控是發現這些錯誤並防止它們升級為中斷或洩露的唯一方法。
GREYCORTEX Mendel 為您提供對 DNS 流量的可見性、對未經授權解析器的警報，以及對隧道模式的偵測。
關於GREYCORTEX
GREYCORTEX使用先進的人工智能，機器學習和數據挖掘方法來幫助組織使其IT操作安全可靠。MENDEL是GREYCORTEX的網絡流量分析解決方案，它可以通過檢測對其他網絡安全產品所缺少的敏感數據，網絡，商業機密和聲譽的網絡威脅，來幫助公司，政府和關鍵基礎設施部門保護其未來。MENDEL基於十年的廣泛學術研究，並使用在四項美國NIST挑戰賽中均獲得成功的技術進行設計。
關於 Version 2 Digital
資安解決方案 專業代理商與領導者
台灣二版 ( Version 2 ) 是亞洲其中一間最有活力的 IT 公司，多年來深耕資訊科技領域，致力於提供與時俱進的資安解決方案 ( 如EDR、NDR、漏洞管理 )，工具型產品 ( 如遠端控制、網頁過濾 ) 及資安威脅偵測應 變服務服務 ( MDR ) 等，透過龐大銷售點、經銷商及合作伙伴，提供廣被市場讚賞的產品及客製化、在地化的專業服務。
台灣二版 ( Version 2 ) 的銷售範圍包括台灣、香港、中國內地、新加坡、澳門等地區，客戶涵 蓋各產業，包括全球 1000 大跨國企業、上市公司、公用機構、政府部門、無數成功的中小企業及來自亞 洲各城市的消費市場客戶。