目前最常见的攻击方式之一就是域名系统(DNS)攻击。DNS被广泛使用、高度信任但又很容易受攻击。特别是现在一些高级持续性攻击(APT)变得越来越流行，它们能够深入渗透到网络深处，并且能产生比前几代恶意软件更大的危害。一旦APT成功渗透一个网络，它们就会使用DNS服务器连接回远程命令与控制中心，然后下载一些破坏网络运营或偷取数据的指令。
攻击者曾经在一些著名事件中使用了APT攻击，包括Michaels和Kmart等零售供应链，以及American Express和JPMorgan Chase等银行与金融巨头。它们将会继续蔓延到许多的行业，包括教育、政府、医疗和电信等。
攻击者之所以使用APT，是因为它们能够攻克传统保护模式;APT在设计上就支持在IT基础架构之中传播、变化和隐藏，能够静静地潜伏而发起长时间攻击。然而，如果理解了它们的工作方式，它们也是可以中止的。
初始感染：初始感染可以有以下三种方式：
1. 攻击者发送恶意软件电子邮件给一个组织内部的收件人。例如，Cryptolocker就是一种感染方式，它也称为勒索软件，其攻击目标是Windows个人电脑，会在看似正常的电子邮件附件中伪装。一旦收件人打开附件，Cryptolocker就会在本地磁盘上加密文件和映射网络磁盘。如果你不乖乖地交赎金，恶意软件就会删除加密密钥，从而使你无法访问自己的数据。
2. 攻击者会感染一个组织中用户经常通过DNS访问的网站。著名的端到端战网Gameover Zeus就是一个例子，一旦进入网络，它就能使用P2P通信去控制受感染的设备。
3. 攻击者会通过一个直连物理连接感染网络，如感染病毒的U盘。
下载真实的APT：一旦进入组织内部，几乎在所有的攻击案例中，恶意软件执行的第一个重要操作就是使用DNS从一个远程服务器上下载真实的APT。在成功实现恶意目标方面，真实的APT比初始感染要强大许多。
传播和连回攻击源：一旦下载和安装之后，APT会禁用运行在已感染计算机上的反病毒软件或类似软件。不幸的是，这个操作并不难。然后，APT通常会收集一些基础数据，然后使用DNS连接一个命令与控制服务器，接收下一步的指令。
数据盗取：攻击者可能在一次成功的APT中发现数量达到TB级的数据。在一些案例中，APT会通过接收指令的相同命令与控制服务器接收数据。然而，通常这些中介服务器的带宽和存储容量不足以在有限的时间范围内传输完数据。此外，传统数据还需要更多的步骤，而步骤越多就越容易被人发现。因此，APT通常会直接连接另一个服务器，将它作为数据存储服务器，将所有盗取的数据上传到这个服务器中。最后这个阶段一样会使用DNS。
显然，DNS是APT攻击的一个理想目标。然而，这个问题也是可以解决的。如果能够保证DNS服务器的安全，就能够检测和防止APT攻击。DNS安全保护包括几个重要的实践方法：保持一时半会儿到最新威胁库;使用DHCP身份识别收集受感染终端情报，从而可以方便地清除这些终端;使用可操作的报表和日志机制，帮助完成安全和修复工作的优先级划分。
由于所有行业的公司都可能成为APT攻击的目标，因此这种攻击态势在不断提高。现实情况是，APT可能产生重大危害，一次就可能让一个组织断线几个小时。只要DNS保护不力，网络就有泄露数据的风险。关于APT，你了解的信息越多，实时收集到的恶意攻击情报越多，就越容易保护组织和网络不受到攻击。
作者：何妍
来源：51CTO