DNS 是網路基礎設施的「電話簿」，也是攻擊者偵察、劫持、放大、竄改的高價值目標。基於 Microsoft DNS (Windows Server 2003/2008/R2/2012/2016/2019/2022) 及通用最佳實務，提煉十大加固鐵律，構建纵深防禦體系。
鐵律 1：部署 DNS 轉發器，禁止內部伺服器直接遞迴查詢外網
- 內部權威 DNS 僅負責內部區域解析，外部查詢轉發給專用轉發器
- 轉發器啟用快取、DNSSEC 驗證、速率限制、威脅情報封鎖
- 減少內部 DNS 直接暴露於外網攻擊面 (DDoS/快取投毒/放大反射)
鐵律 2：部署僅快取 DNS 伺服器 (Caching-Only) 作為轉發器
- 不託管任何權威區域，純遞迴/轉發角色
- 受管控環境，定期修補、最小化服務、無區域傳輸風險
- 替代 ISP DNS，消除供應鏈信任風險
鐵律 3：權威 DNS 設為「僅回應授權區域」(DNS Advertisers)
- 停用遞迴查詢：`Recursion: No` / `Allow Recursion: None`
- 僅回應自行託管區域的查詢，拒絕其他域名解析
- 消除開放解析器被濫用於 DDoS 放大攻擊風險
鐵律 4：內部解析器 (DNS Resolvers) 僅服務受信用戶端
- 啟用遞迴，但 `Allow Recursion: Trusted Subnets Only`
- 防火牆限制來源 IP (內網段/VPN/管理網)
- 不對外網開放 53/UDP/TCP
鐵律 5：啟用快取投毒防護 (Cache Pollution Protection)
- Windows Server 2003+ 預設啟用 (進階頁籤 → 防止快取污染)
- Windows 2000 需手動啟用：DNS 管理員 → 伺服器內容 → 進階 → 勾選「防止快取污染」 → 重啟 DNS 服務
- 原理：忽略回應中非授權、非請求的額外記錄 (Glue/Additional Section)
鐵律 6：動態更新 (DDNS) 僅允許安全連線 (Secure Dynamic Updates)
- 區域類型設為 **Active Directory 整合區域** (AD Integrated)
- 動態更新設為「僅安全」 (Secure Only)
- 僅網域成員電腦帳戶 (Kerberos 驗證) 可更新自身記錄，防止惡意竄改關鍵服務記錄 (DC/Exchange/SQL/檔案伺服器)
鐵律 7：嚴格限制區域傳輸
- 預設拒絕所有區域傳輸
- 僅允許授權從屬 DNS 伺服器 IP 進行傳輸
- 或改用 AD 複寫 (AD Integrated 區域自動透過 AD 複寫，無需傳統 AXFR/IXFR)
- 防止攻擊者取得完整區域資料庫進行偵察 (主機名稱/IP/服務分布/拓撲)
鐵律 8：防火牆精準管控 DNS 流量
- 權威 DNS (對外)：僅允許 UDP/TCP 53 入站，來源任意
- 轉發器/解析器 (內部)：僅允許受信內網段 UDP/TCP 53 入站
- 出站：內部 DNS 僅允許連接上游轉發器/根提示 IP，禁止直連外網 DNS
- 封鎖內部主機使用 DNS 協議 (53/UDP/TCP) 直接連接外部 DNS (防繞過轉發器/數據外洩/DNS Tunnel)
鐵律 9：DNS 服務註冊表 ACL 鎖定
路徑：`HKLM\SYSTEM\CurrentControlSet\Services\DNS`
- 僅授予 `Administrators`、`SYSTEM` 完全控制
- 移除 `Users`、`Power Users`、`Everyone` 等寫入權限
- 審計：啟用成功/失敗寫入審計，整合 SIEM
鐵律 10：DNS 資料檔案系統 ACL 鎖定
路徑：`%SystemRoot%\System32\Dns` (含子目錄)
- 僅授予 `SYSTEM`、`Administrators` 完全控制
- 移除非必要帳戶
- 區域檔案 (`.dns`) 同樣受保護，防止惡意修改區域資料
進階加固清單 (超越十大鐵律)
- DNSSEC 簽署與驗證： 區域簽署 (KSK/ZSK 滾動)、轉發器/解析器強制驗證、DS 記錄向上級註冊
- DNS over TLS (DoT) / DNS over HTTPS (DoH)： 加密傳輸防竄改/偵聽，Windows Server 2019+ 原生支援 DoH 轉發器
- 回應速率限制 (RRL)： 限制單一來源查詢頻率，緩解放大攻擊
- 命名空間隔離 (Split-Brain DNS)： 內外部不同視圖 (Views)，內部解析內部名稱，外部僅解析公開服務
- 監控與告警： 查詢量/錯誤率/遞迴失敗/區域傳輸嘗試/快取命中率/記憶體/CPU、關鍵記錄變更 (SOA/NS/A/AAAA/MX/TXT) 即時告警
- 備份與恢復演練： 區域檔案/AD 分區每日備份、季度裸機恢復演練
結語
DNS 安全不是「裝個防火牆就好」，而是**「角色分離 (權威/轉發/解析) + 最小權限 (遞迴/傳輸/更新) + 加密驗證 (DNSSEC/DoT/DoH) + 精準管控 (防火牆/ACL/審計) + 持續監控 (基線/告警/演練)」**的系統工程。十大鐵律是底線，進階加固是天花板。根據資產價值與威脅模型，分級落地，讓 DNS 成為可信的網路基石，而非攻擊者的跳板。
