Deoarece aplicațiile și utilizatorii depind de DNS pentru a localiza servicii, manipularea sau întreruperea poate redirecționa trafic, împiedica accesul, expune comportamentul de navigare sau submina alte controale.
Mecanisme diferite rezolvă probleme diferite. DNSSEC permite unui rezolver să valideze date DNS semnate; nu criptează interogări și nici nu arată că destinația în sine este sigură. DNS-ul criptat protejează transportul client-rezolver de observare sau modificare; nu oferă autentificarea originii datelor DNS, care este rolul DNSSEC. DNS-ul de protecție aplică politici pentru a bloca sau redirecționa destinații cunoscute sau suspectate ca dăunătoare.
Puncte esențiale
Securitatea serverelor autoritativeProtejați datele de zonă, accesul la registrar, serverele de nume, cheile de semnare și modificările administrative.
Securitatea rezolverelor recursiveIntăriți rezolverele, restricționați abuzul, validați DNSSEC acolo unde este potrivit și monitorizați comportamentul interogărilor.
DisponibilitateFolosiți arhitectură rezilientă, modificări controlate, planificarea capacității și protecție DDoS.
Limitare importantăFiltrarea DNS este un strat util, nu o dovadă de siguranță; atacatorii pot folosi domenii noi, platforme de încredere, adrese directe sau servicii permise.