摘要：
选择知名度高、安全性强的域名服务商是首要任务。查阅其服务评价,了解其数据备份、反DDoS等安全措施。选择经验丰富、技术实力雄厚的服务商。为您的域名账户设置复杂度高的密码,包含数字、... 选择知名度高、安全性强的域名服务商是首要任务。查阅其服务评价,了解其数据备份、反DDoS等安全措施。选择经验丰富、技术实力雄厚的服务商。
为您的域名账户设置复杂度高的密码,包含数字、大小写字母和特殊字符。定期更新密码,避免被黑客猜解。启用二步验证等安全机制,提高安全性。
定期检查域名的解析状态,确保域名解析正常,未被篡改或劫持。使用多家DNS服务商进行解析,提高稳定性。设置监控报警,及时发现异常情况。
确保域名信息如注册人、联系方式等的真实性和隐私性,避免被他人利用。开启域名隐私保护服务,隐藏您的个人信息。
制定完善的应急预案,明确异常情况下的应对措施。定期演练,确保员工熟悉应急流程。一旦发生安全事故,能够迅速采取行动,将损失降到最低。
如何防范服务器缓存投毒和域名劫持
展开全部直接问我就是了啊！那这么麻烦啊！！谈到网络安全，你可能熟悉网页欺诈的危险，但是知道域欺骗（pharming）威胁吗？对于一家在线公司来说，这种风险是致命的! 简单来说，域欺骗就是把原本准备访问某网站的用户，在不知不觉中，劫持到仿冒的网站上，例如用户准备访问某家知名品牌的网上商店，黑客就可以通过域欺骗的手段，把其带到假的网上商店，同时收集用户的ID信息和密码等。 这种犯罪一般是通过DNS服务器的缓存投毒（cache poisoning）或域名劫持来实现的。 最近几个月里，黑客已经向人们展示了这种攻击方式的危害。 今年3月，SANS Institute发现一次将1300个著名品牌域名改变方向的缓存投毒攻击，这些品牌包括ABC、American Express、Citi和Verizon Wireless等；1月份，Panix的域名被一名澳大利亚黑客所劫持；4月，Hushmail的主域名服务器的IP地址被修改为连接到一家黑客粗制滥造的网站上。 跟踪域欺骗事件的统计数据目前还没有。 不过，反网页欺诈工作组（APWG）已经把域欺骗归到近期工作的重点任务之中。 专家们说，缓存投毒和域名劫持问题早已经引起了相关机构的重视，而且，随着在线品牌的不断增多，营业额的不断增大，这一问题也更加突出，人们有理由担心，骗子不久将利用这种黑客技术欺骗大量用户，从而获取珍贵的个人信息，引起在线市场的混乱。 虽然，域欺骗在技术上和组织上解决起来十分复杂。 但是在目前情况下，我们还是可以采取一些措施，来保护企业的DNS服务器和域名不被域名骗子所操纵。 破解困境 DNS安全问题的根源在于Berkeley Internet Domain （BIND）。 BIND充斥着过去5年广泛报道的各种安全问题。 VeriSign公司首席安全官Ken Silva说，如果您使用基于BIND的DNS服务器，那么请按照DNS管理的最佳惯例去做。 SANS首席研究官Johannes认为：“目前的DNS存在一些根本的问题，最主要的一点措施就是坚持不懈地修补DNS服务器，使它保持最新状态。 ” Nominum公司首席科学家、DNS协议原作者Paul Mockapetris说，升级到BIND 9.2.5或实现DNSSec，将消除缓存投毒的风险。 不过，如果没有来自Cisco、F5 Networks、Lucent和Nortel等厂商的DNS管理设备中提供的接口，完成这类迁移非常困难和耗费时间。 一些公司，如Hushmail，选择了用开放源代码TinyDNS代替BIND。 替代DNS的软件选择包括来自Microsoft、PowerDNS、JH Software以及其他厂商的产品。 不管您使用哪种DNS，请遵循BlueCat Networks公司总裁Michael Hyatt提供的以下最佳惯例： 1、在不同的网络上运行分离的域名服务器来取得冗余性。 2、将外部和内部域名服务器分开（物理上分开或运行BIND Views）并使用转发器（forwarders）。 外部域名服务器应当接受来自几乎任何地址的查询，但是转发器则不接受。 它们应当被配置为只接受来自内部地址的查询。 关闭外部域名服务器上的递归功能（从根服务器开始向下定位DNS记录的过程）。 这可以限制哪些DNS服务器与Internet联系。 3、可能时，限制动态DNS更新。 4、将区域传送限制在授权设备上。 5、利用事务签名对区域传送和区域更新进行数字签名。 6、隐藏服务器上的BIND版本。 7、删除运行在DNS服务器上的不必要服务，如FTP、telnet和HTTP。 8、在网络外围和DNS服务器上使用防火墙服务。 将访问限制在那些DNS功能需要的端口/服务上。 让注册商承担责任 域欺骗的问题从组织上着手解决也是重要的一环。 不久前，有黑客诈骗客户服务代表修改了Hushmail的主域名服务器的IP地址。 对于此时，Hushmail公司的CTO Brian Smith一直忿忿不已，黑客那么容易就欺骗了其域名注册商的客户服务代表，这的确令人恼火。 Smith说：“这件事对于我们来说真正糟透了。 我希望看到注册商制定和公布更好的安全政策。 但是，我找不出一家注册商这样做，自这件事发生后，我一直在寻找这样的注册商。 ” 总裁Alex Resin在因注册商方面的问题，导致今年1月Panix域名遭劫持时，也感受到了同样强烈的不满。 首先，他的注册商在没有事先通知的情况下，将他的域名注册卖给了一家转销商。 然后，这家转销商又把域名转移给了一个社会工程人员——同样也没有通知Resin。 Resin说：“域名系统需要系统的、根本的改革。 现在有很多的建议，但事情进展的不够快。 ” 等待市场需求和ICANN领导阶层迫使注册商实行安全的转移政策，还将需要长时间。 因此，Resin, Smith和ICANN首席注册商联络官Tim Cole提出了以下减少风险的建议： 1、要求您的注册商拿出书面的、可执行的政策声明。 将如果需要转移域名的话，要求他们及时与您联系的条款写在书面文件中。 2、锁定域名，要求注册商在得到解锁的口令或其他身份信息后才允许转移。 3、使您保存在注册商那里的正式联系信息保持最新状态。 4、选择提供24×7服务的注册商，这样他们可以在发生违规事件时迅速采取行动。 5、如果发生未经授权的转移，立即与有关注册商联系。 6、如果您的问题没有得到解决，去找您的域名注册机构（例如，VeriSign负责和的注册）。 7、如果您在拿回自己的域名时仍遇到问题，与ICANN联系（）。 8、如果拥有一个大型域，那就像Google那样，成为自己的注册商或者自己的转销商，利用的开放API，OpenSRS，来控制您的所有域名。
雷网主机防止恶意攻击 保护DNS服务器方法有哪些?
随着Internet上DNS攻击事件的发生，DNS的安全问题也成为大家关心的焦点，常见的方式为：1、针对DNS系统的恶意攻击：发动DNS DDOS攻击造成DNS名称解析瘫痪。
2、DNS名称劫持：修改注册讯息、劫持解析的结果。
当DNS服务器遭遇DNSSpoofing恶意攻击时，不管是正常DNS查询封包或非正常的封包都经由UDPPort53进到内部的DNS服务器，DNS服务器除了要处理正常封包外，还要处理这些垃圾封包，当每秒的封包数大到一定的量时，DNS服务器肯定无法处理了。
此时，正常的封包请求，也一定无法得到正常的回应，当查询网站的IP无法被回应时，用户当然连接不到网站看不见网页，如果是查询邮件服务器时，那邮件也无法被寄出，重要的资料也无法被顺利的传递了，因此，维护DNS服务的正常运作就是一件非常重要的工作。
针对以上的问题AX有一个解决方式，就是DNS应用服务防火墙，AX在这问题有三个有力的方法，可以有效的缓解这些攻击所造成的影响，
1、首先将非DNS协定的封包过滤（Malformed Query Filter）
2、再来将经由DNS服务器查询到的讯息做缓存（DNS Cache）
3、如果真的遇到大量的正常查询、AX可以启动每秒的连线控制（Connection Rate Limit）
Malformed Query Filter:
这种非正常的封包通常都是用来将对外网络的频宽给撑爆，当然也会造成DNS服务器的忙碌，所以AX在第一线就将这类的封包过滤，正确的封包传递到后方的服务器，不正常的封包自动过滤掉避免服务器的负担。
当DNS查询的回应回到AX时，AX可以预先设定好哪些Domain要Cache哪些不需要Cache,如果有Cache,当下一个同样的查询来到AX时，AX就能从Cache中直接回应，不需要再去DNS服务器查询，一方面减轻了DNS服务器的负担，另一方面也加快了回应的速度。
再者，当企业选用此功能时更能仅设定公司的Domain做Cache,而非关此Domain的查询一律不Cache或者拒绝回应，这样更能有效的保护企业的DNS服务器。
而ISP之类需提供大量查询的服务，更适合使用此功能，为DNS服务提供更好更快的回应。
Connection RateLimit:
当查询的流量大到一定的程度时，例如同一个Domain每秒超过1000个请求，此时在AX上可以启动每秒的连线控制，控制进入到后端DNS服务器的查询量，超过的部分直接丢弃，更严格的保护DSN服务器的资源。
相信许多人期待在日新月异的网际网络中看到创新的网络技术，并能提供更好的网络应用服务。 而确保DNS服务的不间断持续运作并让DNS服务所提供的资讯是正确的，这也是一切网络应用服务的基础。
本文提及DNS防火墙应用服务功能，除了希望提醒读者DNS服务的重要外，亦希望读者对DNS的安全性上有所认知，进而知道如何保护DNS服务器，并在防止被恶意攻击上提供一些有效的帮助。
如何做好域名安全的保障措施
1、顶级域名注册商的选择一些不知名的域名公司或者代理平台往往以消费者和小企业为目标。 结果，他们不能为自己平台下面的域名提供相关的安全保护。 所以应该在选择域名注册商的时候留意一下是否有特殊的安全服务功能，为你的域名部署多种锁定的功能。 要确保注册锁定和注册商的锁定都已经开启，企业可以锁定自己真正的域名，一些注册商也提供锁定来防止域名劫持。 2、及时更新安全补丁确保你的Web服务器使用的是最新的安全补丁，这样黑客就不能利用已知的软件漏洞进行操作，如果不能及时的更新那么域名安全将收到很大风险。 3、监控网站ip如果你看到网站流量神秘地发往位于非网站ip的服务器，那网站就可能是出了什么问题。 4、从注册商处请求DNSSECDNSSEC——会为你的域名系统添加安全扩展——但不能防止域名被劫持，不过唯一可作为保障的技术就是用户点击网站上的链接后，当在点击网页链接与进入你网页之间的那段时间里不会被劫持。