Protože aplikace a uživatelé závisí na DNS při lokalizaci služeb, manipulace nebo narušení může provoz přesměrovat, zabránit přístupu, odhalit chování prohlížení či podkopat jiné kontroly.
Různé mechanismy řeší různé problémy. DNSSEC umožňuje resolveru validovat podepsaná data DNS; nešifruje dotazy ani neukazuje, že cíl samotný je bezpečný. Šifrované DNS chrání transport klient–resolver před pozorováním či pozměněním; neposkytuje autentizaci původu dat DNS, což je role DNSSEC. Protective DNS uplatňuje politiku k blokování či přesměrování známých nebo podezřelých škodlivých cílů.
Klíčové body
Zabezpečení autoritativní stranyChraňte data zón, přístup k registrátorovi, jmenné servery, podpisové klíče a administrativní změny.
Zabezpečení rekurzivní stranyZpevněte resolvery, omezte zneužití, kde je to vhodné validujte DNSSEC a monitorujte chování dotazů.
DostupnostPoužívejte odolnou architekturu, řízené změny, plánování kapacity a ochranu proti DDoS.
Důležité omezeníFiltrování DNS je užitečná vrstva, nikoli důkaz bezpečnosti; útočníci mohou používat nové domény, důvěryhodné platformy, přímé adresy či povolené služby.