前言：DNS 是 Active Directory 的生命線
Active Directory (AD) 完全依賴 DNS 定位域控制器 (DC)、全局目錄 (GC)、Kerberos/KDC 等核心服務 (SRV 記錄)。DNS 癱瘓 = AD 癱瘓 = 業務停擺。本文提供從部署到運維的全生命週期安全加固框架。
一、部署階段：奠定安全基線
1. 採用 Active Directory 整合區域 (預設且必須保持)
- DNS 數據存儲於 AD 資料庫 (NTDS.dit)，隨 AD 複寫，無需額外區域傳輸流量。
- 優勢：多主寫入 (任意 DC 可修改)、安全複寫 (Kerberos 加密)、ACL 保護 (記錄級權限控制)、性能優越 (無文本區域文件 I/O)。
- 安裝 DNS 時勿取消「將區域數據存儲在 Active Directory 中」勾選框。
2. 禁用/限制區域傳輸
- AD 整合區域不依賴傳統 AXFR/IXFR，但介面仍存在「區域傳送」標籤。
- 設置：不允許區域傳送 (或僅允許特定受信 DNS 服務器 IP)。防止攻擊者枚舉完整區域拓撲 (主機名、IP、服務分佈)。
3. 埠口與協議最小化暴露
- DNS 使用 UDP/TCP 53。邊界防火牆/主機防火牆：僅允許授信網段訪問 UDP/TCP 53。
- 內網分段：僅允許客戶端/成員服務器訪問 DC/DNS 的 53 端口，禁止服務器之間不必要的 DNS 訪問。
二、傳輸加密：部署 IPsec 保護 DNS 流量
標準 DNS 明文傳輸，易遭竄改/劫持/監聽。部署 IPsec (傳輸模式) 加密 DC-客戶端、DC-DC 間 DNS 通信：
- 確保數據機密性 (ESP 加密)、完整性/認證 (AH/ESP-HMAC)、防重放。
- 僅允許持有有效機器憑證/預共享金鑰的節點通信，阻斷偽造請求/響應。
- 配置路徑：GPO → 計算機配置 → Windows 設置 → 安全設置 → IPsec 原則 → 創建/分配「安全 DNS 通信」策略。
三、動態更新安全：防止記錄劫持
- 保持預設 「僅安全動態更新」 (僅經驗證的域成員可註冊/更新記錄)。
- 阻止攻擊者：註冊惡意 A/AAAA 記錄 劫持流量、刪除合法記錄 造成拒絕服務、註冊大量垃圾記錄 耗盡資源。
四、配額限制：防禦 DNS 洪水攻擊
- 默認單客戶端限 10 條記錄。可通過註冊表調整：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters\MaxCacheSize (緩存上限)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters\RpcProtocol (RPC 協議限制)
- 關鍵例外：DHCP 服務器、DC、多宿主服務器需註冊大量記錄，必須通過 GPO/腳本為其配置更高配額 或排除限制。
五、分離式 DNS 架構：隱藏內部拓撲
- 內部 DNS：權威解析內部域 (corp.contoso.com)，僅內網可訪問，存儲所有內部 SRV/A/AAAA/CNAME。
- 外部 DNS：權威解析公共域 (contoso.com)，僅發布 Web/郵件/VPN 等公開服務記錄。
- 內部 DNS 不轉發 到外部根提示，而是配置條件轉發器指向外部 DNS 或 ISP DNS 解析公網名稱。
- 外部 DNS 絕不知曉 內部區域存在，防止信息洩露助力滲透偵察。
六、持續監控與應急響應
關鍵監控指標
| 指標 | 工具/來源 | 異常閾值示例 |
|---|
| 查詢 QPS (Queries Per Second) | DNS 統計 / 性能計數器 / 封包捕獲 | 單客戶端 > 100 QPS 或總 QPS 突增 300% |
| 區域傳輸請求 (AXFR) | DNS 事件日誌 (Event ID 6527) | 任何非授信 IP 發起 AXFR |
| 動態更新失敗/拒絕 | DNS 事件日誌 (Event ID 5500/5501) | 大量非域成員嘗試更新 |
| 服務器 CPU/內存/網絡 | PerfMon / Zabbix / SCOM | 持續高負載無業務對應 |
| DoS 攻擊特徵 | 防火牆/IDS/IPS 日誌 | 單源大量 UDP 53 碎片包/放大攻擊 |
DoS 發現即時響應流程
- 確認：流量分析判定為針對 DNS 的 DoS (而非合法業務高峰)。
- 阻斷：邊界/主機防火牆封鎖攻擊源 IP / 端口速率限制 (如 50 pps/源 IP)。
- 隔離：必要時暫停 DNS 服務或斷開網絡連接，保護 AD 核心。
- 溯源：日誌分析攻擊向量 (放大、洪水、子域枚舉)。
- 加固：部署 RRL (Response Rate Limiting)、Anycast DNS、雲端清洗 (如 Azure DNS Protection)。
七、總結：DNS 安全檢查清單 (適用審計/驗收)
- [ ] DNS 區域類型 = Active Directory 整合。
- [ ] 區域傳輸 = 禁用或僅限授信 IP。
- [ ] 動態更新 = 僅安全更新。
- [ ] IPsec = 已部署並強制加密 DNS 通信。
- [ ] 防火牆 = 僅授信網段訪問 UDP/TCP 53。
- [ ] 分離式 DNS = 內外部架構物理/邏輯隔離。
- [ ] 配額限制 = 已配置並例外關鍵服務器。
- [ ] 監控告警 = QPS、AXFR、更新失敗、資源負載已接入監控平台。
- [ ] 應急預案 = DoS 響應流程文檔化、演練季度 1 次。
- [ ] 文檔資產 = DNS 架構圖、區域列表、關鍵記錄、變更記錄完整歸檔。
結語
DNS 安全非一次性配置，而是持續的工程實踐。將上述清單納入基礎設施安全基線，配合自動化合規掃描 (如 PowerShell DSC、Ansible) 與紅藍對抗演練，才能在攻擊面不斷擴大的今天，守住 Active Directory 的「導航中樞」。記住：一次成功的 DNS DoS，直接導致 AD 癱瘓——這風險，不容忽視。
