確保 Windows Server 2003 網域 DNS 安全的七大關鍵措施

前言

Active Directory (AD) 完全仰賴 DNS 定位網域控制站、全域類別、Kerberos 服務等。DNS 一旦遭竄改或癱瘓，整個 AD 環境將失效。本文提出七大關鍵措施，從部署架構、傳輸加密、存取控制、監控到隔離，全方位保護網域 DNS 安全。

措施一：採用 AD 整合區域（預設即為最佳）

• 安裝 DNS 時勿取消勾選「將區域儲存在 Active Directory 中」。
• 優點：區域資料隨 AD 複寫、多主機寫入、安全性描述元保護 ACL、無需區域傳送、效能最佳。

措施二：加密 DNS 用戶端與伺服器通訊（IPsec）

• 部署 IPsec 原則，要求網域內所有 DNS 查詢/回應（TCP/UDP 53）經 ESP 加密並驗證（AH）。
• 效益：防止竄改回應（Cache Poisoning）、防止側錄查詢內容、確保僅與合法 DNS 伺服器通訊。
• 設定：群組原則 → IP 安全性原則 → 建立「要求安全性」規則，來源/目的地為 DNS 伺服器 IP，通訊埠 53，驗證方式 Kerberos/憑證/預共享金鑰。

措施三：防火牆/邊界過濾 TCP/UDP 53

• 邊界防火牆僅允許授權 DNS 伺服器對外遞解，封鎖內部主機直接對外查詢。
• 內部防火牆/主機防火牆限制只有 DNS 用戶端服務（dns.exe）可發起 53 埠連線。

措施四：啟用安全動態更新（預設）

• 區域內容 → 「一般」 → 「動態更新」選「僅安全」。
• 只有通過驗證的網域電腦/使用者能註冊/更新自己的 A/PTR 記錄，防止駭客竄改記錄導向釣魚站點。

措施五：設定 DNS 記錄配額防洪水攻擊

• 每部電腦預設最多註冊 10 筆記錄。可透過 dnscmd /Config /MaxCacheSize 或登錄檔 HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters\MaxCacheSize 調整。
• DHCP 伺服器、多重連網伺服器、網域控制站需較高配額，建立例外群組單獨設定。

措施六：分離內部/外部命名空間（Split-Brain DNS）

• 內部 DNS 伺服器解析內部資源（AD、檔案伺服器、內部 Web）。
• 外部 DNS 伺服器（DMZ）僅解析公開服務（www、mail、VPN）。
• 邊界防火牆封鎖外部存取內部 DNS，防止內部拓撲、主機名稱、服務記錄 (SRV) 外洩。

措施七：持續監控與事件響應

• 監控 DNS 伺服器 CPU、記憶體、網路頻寬、查詢率（QPS）。異常暴增可能為 DDoS 或放大攻擊。
• 稽核 DNS 事件日誌：事件 ID 3000 (區域載入失敗)、3150 (區域傳送拒絕)、4000 (動態更新拒絕)、5000 (封包過大/異常)。
• 發現大量來自單一來源的查詢 → 立即封鎖來源 IP、啟用速率限制（RRL）、必要時暫停 DNS 服務排查。

總結檢核表

結語

DNS 是 AD 的命脈，保護 DNS 等於保護整個身分識別基礎設施。將上述七大措施納入資安管理計畫，定期演練 DNS 故障切換與攻擊緩解，才能確保企業核心服務持續可用。