Ponieważ aplikacje i użytkownicy zależą od DNS do lokalizowania usług, manipulacja lub zakłócenie może przekierowywać ruch, zapobiegać dostępowi, ujawniać zachowanie przeglądania lub podważać inne kontrole.
Różne mechanizmy rozwiązują różne problemy. DNSSEC pozwala resolverowi walidować podpisane dane DNS; nie szyfruje zapytań ani nie pokazuje, że samo miejsce docelowe jest bezpieczne. Szyfrowany DNS chroni transport klient–resolver przed obserwacją lub zmianą; nie zapewnia uwierzytelniania pochodzenia danych DNS, co jest rolą DNSSEC. Protective DNS stosuje politykę do blokowania lub przekierowywania znanych lub podejrzanych szkodliwych miejsc docelowych.
Najważniejsze punkty
Bezpieczeństwo autorytatywneChroń dane stref, dostęp do rejestratora, serwery nazw, klucze podpisujące i zmiany administracyjne.
Bezpieczeństwo rekurencyjneWzmacniaj resolvery, ograniczaj nadużycia, waliduj DNSSEC tam, gdzie właściwe, i monitoruj zachowanie zapytań.
DostępnośćUżywaj odpornej architektury, kontrolowanych zmian, planowania pojemności i ochrony przed DDoS.
Istotne ograniczenieFiltrowanie DNS jest użyteczną warstwą, a nie dowodem bezpieczeństwa; atakujący mogą używać nowych domen, zaufanych platform, bezpośrednich adresów lub dozwolonych usług.