DNS辦事器可以或許將IP地址翻譯成域名，這就是為甚么你可以在瀏覽器輸進(jìn)域名來拜候我們的網(wǎng)站，而不需要記住IP地址。
當(dāng)DNS被報復(fù)打擊時，可能產(chǎn)生各類環(huán)境，不外，報復(fù)打擊者常常利用兩種編制來操縱被報復(fù)打擊的DNS辦事器。起首，報復(fù)打擊者可以做的第一件工作是重定向所有進(jìn)站流量到他們選擇的辦事器。這使他們可以或許策動更多的報復(fù)打擊，或匯集包含敏感信息的流量日記。
報復(fù)打擊者可以做的第二件工作是捕獲所有進(jìn)站電子郵件。更首要的是，第二種做法還承諾報復(fù)打擊者發(fā)送電子郵件，操縱受害者企業(yè)的域名和其杰出的名譽。讓工作更糟的是，報復(fù)打擊者還可以選擇同時做上述兩種報復(fù)打擊行動。
專注于流量治理和DNS的Dyn公司首席手藝官Cory von Wallenstein在一篇博客文章中介紹了三種常見的DNS報復(fù)打擊類型和應(yīng)對編制。
第一種DNS報復(fù)打擊類型被稱為緩存中毒報復(fù)打擊，這類報復(fù)打擊產(chǎn)生在報復(fù)打擊者成功將歹意DNS數(shù)據(jù)注進(jìn)到遞回DNS辦事器(由良多ISP運作)以后。從收集拓?fù)涞慕嵌葋砜?，這行類型的DNS辦事器是最接近用戶的辦事器，是以，對這些辦事器的報復(fù)打擊將會直接影響到連接這些辦事器的特定用戶。
我們有禁止這類報復(fù)打擊的有效編制，并且，DNSSEC等尺度可以或許供給額外的呵護(hù)。假定DNSSEC不成行，另外一種解決編制就是限制需要呵護(hù)的名稱辦事器上的遞回。遞回用來肯定辦事器是僅措置其保留在緩存中的數(shù)據(jù)，仍是辦事器會到互聯(lián)網(wǎng)與其他辦事器通信來找出最好謎底。
第二種類型的DNS報復(fù)打擊需要報復(fù)打擊者掌控一個或多個授權(quán)DNS辦事器。授權(quán)DNS托管是Dyn公司向Twitter供給的辦事類型。不外，Dyn沒有成為黑客集體敘利亞電子戎行(SEA)的方針，所以其向Twitter供給的辦事在周二的事務(wù)中沒有遭到影響。
假定報復(fù)打擊者可以或許報復(fù)打擊授權(quán)DNS辦事器，這類報復(fù)打擊的影響將是全球性的。當(dāng)然SEA比來的一次報復(fù)打擊中沒有如許做，但此前呈現(xiàn)過。
在2009年，Twitter蒙受了伊朗收集戎行的報復(fù)打擊。該組織點竄了DNS記實，并重定向流量到他們節(jié)制的辦事器。該組織之所以可以或許點竄DNS設(shè)置，是因為他們報復(fù)打擊了一個Twitter員工的電子郵件賬戶，然后利用該賬戶來授權(quán)DNS更改。
抵抗這些類型的報復(fù)打擊的編制凡是包含：高強度暗碼，和基于IP的ACL(可接管拜候節(jié)制列表)。別的，還應(yīng)當(dāng)對員工進(jìn)行完全的培訓(xùn)，來避免社會工程學(xué)。
第三種類型的DNS報復(fù)打擊也是很毒手的標(biāo)題問題。這類報復(fù)打擊是報復(fù)打擊者報復(fù)打擊域本身的注冊，然后利用這類拜候來更改分派到它的DNS辦事器。
這也恰是SEA報復(fù)打擊的做法，在報復(fù)打擊Twitter和紐約時報時，他們獲得了MelbourneIT的拜候權(quán)，該注冊機構(gòu)負(fù)責(zé)這兩個方針域名，然后，報復(fù)打擊者把授權(quán)DNS辦事器改成他們本身的辦事器。企業(yè)最好將授權(quán)辦事器托管在企業(yè)內(nèi)部，從而對其完全節(jié)制。