阿里云首席安全研究员吴翰清解读：如何保护“互联 心脏”DNS

如何保护“互联 心脏”DNS

2016年10月21日北京时间19点11分，美国DNS服务提供商Dyn遭受大规模DDoS攻击，导致诸多 站停止服务，最终影响了包括Twitter丶Spotify丶Netflix丶Airbnb丶Github、Reddit以及纽约时 在内的美国绝大多数 站。

标红为美东地区无法访问的区域

很多人质疑，一个名不见经传的DNS怎么会掀起如此大浪？阿里云首席安全评论员吴翰清解读😀NS是互联 心脏，也是不少企业安全的短板。这场由DNS引发的瘫痪事件未波及到国内，但敲响了所有企业的安全警钟。试想，一个人心脏有状况会是什么局面？今天我们就来谈谈如何保障DNS的“健康”。

什么是DNS？

位于美国新罕布什尔州曼彻斯特市的Dyn是美国主要域名服务器（DNS）供应商。域名， 友访问互联 的起点和入口，也是全球互联 通信的基础。DNS作为承载全球亿万域名正常使用的系统，则是互联 重要的基础设施。

罪魁祸首到底是谁？

造成本次大规模 络瘫痪的原因是Dyn公司的服务器遭到了DDoS攻击。DDoS攻击又称为拒绝服务攻击。最基本的DDoS就是黑客利用合理的服务请求去占用尽可能多的服务资源，从而使得用户无法得到服务响应。当DDoS攻击Dyn公司，很多 友正常的DNS查询请求无法完成，用户也就无法通过域名访问Twitter、GitHub等站点了。

DNS引发的 络瘫痪离我们有多远？

不止在美国，国内也曾遇到多起DNS瘫痪引发的“惨案”。2014年1月21日大陆境内发生最为严重DNS故障。所有通用顶级域（.com/.net/.org）遭到DNS污染。所有的域名全被指向了位于美国的一个IP地址（65.49.2.178）。有 站 道：当前，国内黑客攻击已经形成产业链。互联 上充斥着大量的攻击工具和木马，给攻击者制造了便利。一些黑客甚至明码标价。比如，打1G的流量到一个 站一小时， 上 价只需50块钱。黑客掌握攻击“武器”之后，通常受利益驱动，或主动或受雇佣，去攻击一些高盈利行业。比如金融、游戏行业。

万物互联安全风险已来？

如何避免CDN引发的 络瘫痪

美国Dyn公司向用户提供了DNS的托管和解析服务，作为互联 的基础设施之一。DNS遭受攻击后的影响非常大。在中国，阿里云为用户也提供DNS的托管服务。

阿里云将云解析集成进高防业务，利用云计算的弹性扩展特性来提升DNS的解析能力，并在 络访问到 站访问之间建立了全链路安全体系。阿里云DNS服务器集群的峰值防御能力为：300G+,5亿QPS(每秒查询率)。同时，在全球布暑7大BGP（边界 关协议）机房，访问数据秒生效，能保证世界各地不同区域的用户的访问需求。

阿里云：世界级的安全能力

每天，阿里云帮助中国大陆37%的 站，成功抵御8亿次攻击。每天，阿里云识别并防御来自35000个恶意IP的攻击，防御2000次DDoS攻击，2亿次密码暴力破解和2000万次Web攻击。在刚刚过去的2016年杭州G20峰会期间，阿里云提供了大量专业的安全护航服务，保障G20官 以及浙江省内政务、民生类 站稳定传递资讯。其中，阿里云云盾DDoS防护系统成功防护DDoS攻击近3万次，防御最高峰值达439.7 Gbps；Web应用防火墙在G20期间成功防御超过1亿次攻击，包括SQL注入、XSS、代码执行等恶意攻。