百度被黑、聯通 DNS 廣告劫持事件警示：網路成生活必需品，安全至關重要。企業商業機密與資料是生存之本，伺服器安全不可忽視。DNS 軟體是駭客熱門攻擊目標，易引發多安全問題。本文列舉保護 DNS 伺服器十大有效方法。
- 使用 DNS 轉發器：為其他 DNS 完成查詢，減輕處理壓力，從更大快取受益。關鍵優勢：阻止內部 DNS 直接遞迴查詢互聯網 DNS，若內部 DNS 存有內網域資源記錄，此舉極重要——改用轉發器處理未授權請求。
- 使用僅快取 DNS 伺服器：針對非授權域名，執行遞迴查詢或用轉發器，將結果快取回應。隨時間累積大量回應，大幅縮短響應時間。自建僅快取 DNS 作為轉發器，受自身管控，提升安全性，不依賴 ISP DNS（無法確認其安全性時尤關鍵）。
- 使用 DNS 廣告者：負責解析特定域查詢。公開資源域（如 domain.com、corp.com）在公共 DNS 配置區域檔案。除區域檔案宿主外，僅回應授權域查詢，不做遞迴查詢，防止用戶用公共 DNS 解析其他域名，降低快取中毒等公開解析器風險。
- 使用 DNS 解析器：可完成遞迴查詢解析非授權域名。如內網 DNS 授權 internalcorp.com，用戶查 techrepublic.com 時執行遞迴取得答案。區別於一般 DNS，解析器專司解析互聯網主機名，可為僅快取 DNS。可限內部/外部用戶使用，避免在不可控外部設立 DNS，提高安全性。
- 防範快取污染：DNS 快取污染日益普遍。大多數 DNS 能配置防污染。Windows Server 2003 DNS 預設即防污染；Windows 2000 DNS 需在屬性「進階」頁勾選「防止快取污染」並重啟服務。
- 動態 DNS (DDNS) 僅允許安全連線：DDNS 記錄 DHCP 主機名與 IP，大幅減輕管理負擔。但未驗證的動態更新極危險：惡意用戶可偽裝檔案/資料庫/Web 伺服器竄改主機記錄，導致連線被導向惡意機器。解決：配置 Active Directory 整合區域並要求安全動態更新，域成員始能安全動態更新 DNS 資訊。
- 停用區域傳輸：區域傳輸發生於主/從 DNS 間。主 DNS 授權域名帶可寫區域檔，從 DNS 接收唯讀副本提升查詢效能。但任何能發 DNS 查詢者均可誘導傾倒區域資料庫，惡意用戶可偵察命名規劃攻擊關鍵基礎設施。配置禁止區域傳輸，或僅允許特定內部伺服器。
- 防火牆控制 DNS 存取：僅回應內部查詢的 DNS，防火牆阻擋外部主機連線；作僅快取轉發器的 DNS，僅允許使用該轉發器的 DNS 查詢。關鍵：阻止內部用戶用 DNS 協定連接外部 DNS。
- DNS 登錄檔存取控制：Windows DNS 伺服器相關登錄檔（HKLM\CurrentControlSet\Services\DNS）僅允許管理員與系統帳戶存取，給予完全控制權限。
- DNS 檔案系統存取控制：%system_directory%\DNS 資料夾及子資料夾僅允許系統帳戶存取，給予完全控制權限。
