企业 DNS 安全：它是什么以及为何重要

在本文中，我们将探讨 DNS（新窗口） 安全、它对您的企业意味着什么，以及使用 Proton VPN 如何为您的企业提供所需的 DNS 安全（新窗口）。

域名系统 (DNS) 将人类易读的域名转换为计算机用来识别网站和其他互联网资源的数字 IP 地址（新窗口）。因此，它在包括工作在内的所有人使用互联网的过程中发挥着至关重要的作用。

遗憾的是，DNS 诞生于 1983 年，远早于人们考虑在线安全的需要。默认情况下，DNS 请求以纯文本形式发送，任何人都能看到，并且很容易被劫持并重定向到恶意域名。这种情况对个人互联网用户来说已经足够危险，而在商业环境中则可能是灾难性的。

什么是 DNS？
DNS 与企业隐私
DNS 与企业安全
DNS 安全解决方案
Proton VPN 如何保护您企业的 DNS
结语：DNS 保护对企业的重要性

什么是 DNS？

计算机使用唯一的数字 IP 地址来识别每个直接连接到互联网的设备。较旧的 IPv4 系统使用 8 位地址（例如 185.159.159.140），但这类地址即将耗尽，因此较新的 IPv6 标准使用十六进制系统（同时包含数字和字母），长度最多可达 45 个字符（例如 2001:db8::8a2e:370:7334）。

这对计算机来说很方便，但对人类却不友好，因为人们更擅长记住对我们有意义的字母地址（域名，例如 protonvpn.com）。DNS 让人们能够输入自己理解的域名，并将其映射到计算机理解的数字地址。本质上，它的作用就像一本交叉引用域名和 IP 地址的电话簿。

当您输入域名（例如在浏览器搜索栏中）时，系统会向 DNS 服务器发送一个 DNS 查询，由该服务器解析查询，即将域名转换为对应的 IP 地址。

详细了解 DNS 的工作原理 （新窗口）

DNS 与企业隐私

DNS 很有用，但会带来一个重大安全问题：任何能够访问贵公司 DNS 查询的人，实际上都能知道其完整的浏览历史，包括所有通过办公网络连接互联网的员工的浏览历史。

DNS 与贵公司的 ISP

默认情况下，DNS 查询由您的互联网服务提供商（新窗口） (ISP) 解析。遗憾的是，ISP 并不以保护个人或企业隐私为业务。大多数政府大规模监控计划都依赖于要求 ISP 保留其客户浏览历史的日志。而且，由于这种方式简单且成本低廉，大多数 ISP 仅通过保留 DNS 日志来履行这些法律义务。

在某些国家/地区（例如美国），ISP 甚至被允许使用或出售客户的 DNS 记录（新窗口），用于广告和分析目的。

DNS 与企业监控

大多数 DNS 查询以纯文本形式发送到 DNS 服务器，这意味着任何能够拦截这些查询的实体都将知道贵公司的完整浏览历史。这包括贵公司所接触的联系人、商业伙伴、供应商、客户、政府以及健康与安全监管机构等等。

所有这些数据对竞争对手来说都可能是极具价值的信息。

DNS 与企业安全

除了被动窥探企业的浏览历史之外，黑客还可以利用 DNS 发动多种主动攻击。其中许多攻击针对 DNS 服务器本身（通常是旨在使服务器过载的各种形式的拒绝服务攻击（新窗口）），但除非贵公司运行自己的 DNS 服务器（有些公司确实如此），否则此类攻击不太可能对您的企业构成威胁。

可能对大多数企业构成威胁的基于 DNS 的攻击包括：

DNS 欺骗

为了加快查询速度并减轻 DNS 服务器的负载，频繁的查询通常会在本地存储（缓存）在 DNS 服务器上。要发动 DNS 欺骗攻击（也称为 DNS 污染），攻击者会向 DNS 服务器缓存中插入虚假的 DNS 记录。

这可以通过中间人攻击（新窗口）（拦截用户设备与 DNS 服务器之间的查询）或通过缓存污染（新窗口）（利用 DNS 服务器软件中的漏洞向其缓存注入恶意条目）来实现。

DNS 缓存一旦被污染，当用户尝试访问合法网站时，被篡改的 DNS 记录会将其重定向到攻击者控制的另一个 IP 地址。与 网络钓鱼攻击一样，这通常会导致密码和信用卡信息被窃取和/或恶意软件被上传到贵公司的计算机上。

DNS 隧道

DNS 隧道常被用作企业监控的工具，用于绕过旨在防止敏感数据外泄（被盗）的防火墙和其他安全措施。它对数据进行编码，使其可以在 DNS 查询和响应中传输，从而有效地将 DNS 基础设施用作隐蔽的通信信道。

攻击者还可以利用它来维持与受损系统的通信，在不被发现的情况下发送命令和接收输出。DNS 隧道利用了一个事实：与其他类型的流量相比，DNS 流量通常较少受到安全设备的审查，这使其成为绕过防火墙和过滤器的一种有效方法。

DNS 安全解决方案

大多数 ISP 未采取任何 DNS 安全措施（而且通常无意保护企业的隐私）。不过，Cloudflare 1.1.1.1、Quad9 和 OpenNIC 等第三方 DNS 提供商更加注重隐私和安全，包括使用能使 DNS 安全性大大提高的技术。

私有 DNS

私有 DNS（也称为加密 DNS）使用 DNS-over-TLS (DoT)、DNS-over-HTTPS (DoH) 或 DNSCrypt 安全协议，对发起查询的设备与 DNS 服务器之间的 DNS 查询进行加密。

这可确保您的 ISP（或任何其他监控贵公司互联网连接的人）无法看到您的 DNS 查询。

详细了解私有 DNS（新窗口）

私有 DNS 显然比以纯文本形式发送 DNS 查询有了巨大改进，但它不如使用 VPN 服务私密，因为 VPN 不仅加密您的 DNS 请求，还加密贵公司的所有敏感数据，从而完全防止 ISP 看到贵企业的在线活动。VPN 还会向员工访问的网站隐藏您的真实 IP 地址。

DNSSEC

域名系统安全扩展 (DNSSEC) 是一套旨在为 DNS 增加额外安全层的规范。

DNSSEC：

确保对 DNS 查询的响应是真实可信的。它通过使用数字签名对 DNS 数据进行签名，然后由客户端进行验证来实现这一点。这有助于验证数据未被篡改，并且确实来自合法来源。
保证数据在传输过程中未被更改。它通过对 DNS 数据进行数字签名来实现这一点，可防范中间人攻击，并防止任何人修改数据。

Proton VPN 如何保护您企业的 DNS

除了提供网关 IP 地址以保护贵公司的资源之外，Proton VPN for Business 还提供强大的 DNS 安全保护：

所有 DNS 请求都会通过加密的 VPN 隧道发送，由我们自己的安全 DNS 服务器进行解析（因此无需私有 DNS 解决方案）
我们绝不会记录您的 DNS 查询（或其他任何内容）
我们的 NetShield 广告屏蔽器功能是一个 DNS 过滤器，可阻止对已知包含广告、跟踪器和（可选启用，以实现更精细控制）恶意软件的恶意域名的 DNS 查询
您的 DNS 服务器使用 DNSSEC 对 DNS 数据进行身份验证（被 NetShield 屏蔽的域名除外，因为这些域名我们本来就不会解析）

获取 Proton VPN for Business