Windows Server 2003 網域 DNS 安全防護 8 大關鍵設定

Active Directory 仰賴 DNS 定位網域控制站與資源（檔案、印表機、郵件等），DNS 安全直接關係 AD 整體存亡。部署 Windows Server 2003 DNS 時，務必從一開始就落實以下 8 項防護措施。

1. 保持 AD 整合 DNS 預設設定
   僅在 DNS 伺服器儲存 DNS 資料，不複寫網域控制站/全域類別目錄資訊，提升三者運作效能與速度。
2. 加密 DNS 傳輸 (TCP/UDP 53)
   在安全邊界過濾 53 埠，僅允許經驗證的連線；部署 IPSec 加密客戶端與伺服器通訊，防禦請求偽造與竄改。
3. 持續監控連線流量
   DNS 需足夠頻寬服務查詢。發現單一來源大量連線疑似 DoS 攻擊，立即切斷來源或隔離伺服器調查。成功的 DNS DoS 將直接癱瘓 AD。
4. 啟用動態安全更新 (預設)
   僅允許經驗證客戶端註冊/更新資源記錄，防止攻擊者竄改 DNS 導向釣魚網站竊取財務資料。
5. 設定 DNS 記錄配額防洪水攻擊
   預設單一客戶端限 10 筆記錄。依角色調整：DHCP、網域控制站、多重宿主伺服器可能需數百筆，分別設定適當配額。
6. 部署分離命名空間 (Split DNS)
   內部 DNS 解析內部資源，外部 DNS 僅解析公開服務。封鎖外部存取內部 DNS，防洩露內部網路拓樸。
7. 定期稽核 DNS 事件日誌
   啟用 DNS 偵錯日誌與分析查詢模式，異常暴增即時預警。
8. 最小權限原則執行 DNS 服務帳號
   避免使用高權限帳號運行 DNS 服務，縮減被入侵後的衝擊範圍。

無論純 Windows 或混合 Unix/Windows 環境，DNS 安全都是網路核心防線，必須持續投入資源防護。