本文目錄
想像你在桃園開了一間生意很好的店，門口有醒目招牌、每天客人循著地址上門。某天你照常開店，卻發現所有客人都被導去隔壁那間山寨店，原來有人偷偷改了路標，讓所有導航系統都指向錯誤的地點。這就是域名劫持在數位世界的真實寫照。對企業網站來說，DNS 就是
我跟桃園、龜山一帶不少老闆聊過，多數人會把資安預算花在 SSL 跟防火牆，卻忽略 DNS 這一層。實際上 DNS 才是第一道關卡：DNS 被打穿，後面所有防護都白做。這篇指南會帶你看懂 DNS 面臨的主要威脅，提供從基礎到進階的實務防護策略。如果你對 DNS 運作原理還不熟，建議先讀網域與 DNS 基礎教學再回來。
為什麼 DNS 安全如此重要
DNS 是整個網際網路的「電話簿」，負責將使用者輸入的網域名稱（例如 www.example.com）轉換為伺服器的 IP 位址。這個看似簡單的翻譯過程，卻是所有網路連線的第一步。如果 DNS 被攻破，後續
即使你的網站已經有 SSL 憑證、有防火牆、做齊了網站資安防護基礎，只要 DNS 被改，訪客一樣會被導到偽造網站、密碼被偷、被植入惡意程式。資安研究機構統計，全球每年 DNS 攻擊造成的企業損失高達數十億美元，平均每次事件處理成本超過 100 萬美元。中小企業遇到的規模沒這麼誇張，但業務停擺幾天的損失也夠老闆心痛了。
| DNS 安全事件 | 可能造成的影響 |
|---|---|
| 域名劫持 | 網站流量被導向惡意網站，客戶資料外洩 |
| DNS 快取中毒 | 使用者在不知情下連到偽造網站 |
| DNS DDoS 攻擊 | 網站完全無法存取，營運中斷 |
| DNS 隧道攻擊 | 機敏資料透過 DNS 協定被偷偷外傳 |
常見的 DNS 攻擊類型
了解敵人的手段，才能做好防禦。以下是企業最常面臨的四種 DNS 攻擊手法：
域名劫持（Domain Hijacking）
攻擊者透過社交工程、釣魚攻擊或入侵域名註冊商帳號，直接竄改域名的 DNS 設定，將流量導向自己控制的伺服器。這是最具破壞力的攻擊方式，因為攻擊者一旦取得域名控制權，等同於完全
DNS 快取中毒（DNS Cache Poisoning）
又稱為 DNS Spoofing，攻擊者向 DNS 解析器注入偽造的回應紀錄，讓解析器將錯誤的 IP 位址存入快取。之後所有向該解析器查詢的使用者，都會被導向攻擊者指定的伺服器，而且使用者的瀏覽器不會顯示任何異常警告。
DNS DDoS 攻擊
攻擊者利用殭屍網路向目標的 DNS 伺服器發送大量查詢請求，耗盡伺服器資源使其無法正常回應。當 DNS 伺服器癱瘓後，所有依賴該 DNS 的網站都會無法存取。2016 年知名的 Dyn DNS 攻擊事件，就導致包括 Twitter、Netflix 等大型網站在內的數百個網站同時中斷服務。
DNS 隧道攻擊（DNS Tunneling）
攻擊者將資料藏在 DNS 查詢與回應封包中，繞過防火牆和入侵偵測系統，偷偷傳送機敏資料或與惡意程式進行通訊。由於大多數企業的防火牆都會允許 DNS 流量通過，這種攻擊手法特別難以偵測。
DNSSEC：DNS 安全的基石
**DNSSEC（DNS Security Extensions）**是目前最重要的 DNS 安全機制，它透過數位簽章來驗證 DNS 回應的真實性與完整性，有效防止快取中毒和中間人攻擊。
DNSSEC 的運作原理類似於掛號信的簽收機制：
- 每一筆 DNS 紀錄
都會 ，確保資料在傳輸過程中未被竄改附上 數位簽章 - 接收
端可 ，確認回應確實來自授權的 DNS 伺服器透過 公鑰 驗證簽章 - 信任鏈（Chain of Trust）從根 DNS 伺服器
一路 ，任何環節被篡改都會被發現延伸到 你的域名
啟用 DNSSEC 的步驟並不複雜，大多數主流的域名註冊商都已支援。你需要在 DNS 代管服務中產生 DNSSEC 金鑰，然後將 DS（Delegation Signer）紀錄提交給上層域名註冊商即可。搭配SSL/TLS 安全指南中介紹的 HTTPS 加密傳輸，就能為網站建立從 DNS 查詢到資料傳輸的全程安全保護。
DNS 安全防護的三層架構
完整的 DNS 安全策略應該涵蓋三個層次，從基礎到應用層層疊加，形成縱深防禦體系。
基礎層：鎖定與驗證
這是 DNS 安全的根基，目標是確保域名控制權不被非法奪取。
- 啟用
域名 ：在域名註冊商處開啟 clientTransferProhibited 狀態，防止未經授權的域名移轉鎖定（Registrar Lock） - 啟用 DNSSEC：如上一節所述，透過數位簽章防止 DNS 紀錄被竄改
- 使用高強度帳號防護：為域名註冊商帳號設定強密碼並啟用雙因素驗證（2FA）
- 選擇可信賴的 DNS 服務商：優先選擇具備 Anycast 架構、全球節點分布的服務商
監控層：即時偵測與告警
即使基礎防護做得再好，仍需要持續監控才能在第一時間發現異常。
- DNS 變更通知：設定 DNS 紀錄變更時自動發送 Email 或簡訊通知
- DNS 查詢日誌分析：定期檢視 DNS 查詢模式，識別可疑的大量查詢或異常查詢類型
- WHOIS 監控：監控域名的 WHOIS 資訊變更，防止域名被偷偷移轉
- SSL 憑證
透明度 ：偵測是否有人為你的域名非法申請 SSL 憑證日誌（CT Log）監控
應用層：流量過濾與加速
這一層的重點是在 DNS 之上提供額外的保護，降低攻擊成功時的衝擊。
- 使用 CDN 與 WAF：透過像Cloudflare 網站防護這類服務，同時獲得 DNS 代管、DDoS 防護、WAF 規則與 CDN 加速
- 設定
合理的 TTL 值 ：平衡 DNS 快取效率與紀錄更新速度，一般建議正式環境設定 300 至 3600 秒 - DNS 速率
限制（Rate Limiting） ：限制單一來源的 DNS 查詢頻率，降低 DDoS 攻擊的影響 - 啟用 DNS over HTTPS（DoH）或 DNS over TLS（DoT）：加密 DNS 查詢，防止中間人竊聽
域名註冊商帳號安全強化
老實說，域名註冊商帳號就是 DNS 安全的最大單點故障（Single Point of Failure）。實務上我看過太多老闆：域名是公司 10 年前註冊的，密碼從沒換過、2FA 沒開、註冊用的信箱還是離職員工的私人 Gmail。一旦攻擊者進得來，DNS 隨便改、域名直接被偷走，網站當場消失。以下是強化帳號安全的具體做法：
| 防護措施 | 說明 | 優先等級 |
|---|---|---|
| 啟用雙因素驗證 | 使用 TOTP App 而非簡訊驗證 | 必要 |
| 專用 Email 帳號 | 註冊商帳號使用獨立的 Email，不公開使用 | 高 |
| IP 存取限制 | 限制只有特定 IP 才能登入管理後台 | 高 |
| 定期密碼更換 | 每 90 天更換一次高強度密碼 | 中 |
| 域名續約提醒 | 設定多重提醒，避免域名過期被他人搶註 | 必要 |
| 緊急聯繫人 | 在註冊商處登記多位授權管理人 | 中 |
DNS 安全檢測與監控工具
定期檢測 DNS 設定是否正確，是維持安全的關鍵環節。以下介紹幾種實用的檢測方式：
DNSSEC 驗證
DNS 傳播檢查：當你修改 DNS 紀錄後，可以透過 whatsmydns.net 等工具確認全球各地的 DNS 解析器是否都已更新到正確的紀錄。
DNS 效能監控：使用 DNS 監控服務定期從全球多個節點查詢你的 DNS 紀錄，監測解析速度與可用性。一旦偵測到解析失敗或回應異常，立即發送告警。
自動化安全掃描：將 DNS 安全檢測納入定期的資安掃描流程，檢查項目包括：
- DNSSEC 簽章是否有效且未過期
- DNS 紀錄是否存在不必要的開放解析器
- SPF、DKIM、DMARC 等 Email 驗證紀錄是否正確設定
- 是否存在懸空 DNS 紀錄（Dangling DNS），可能被攻擊者接管
DNS 安全事件應變計畫
即使做了萬全準備，仍然可能遭遇 DNS 安全事件。事先擬定應變計畫，能在事件發生時將損害降到最低。
事前準備：
- 記錄所有 DNS 紀錄的備份，儲存在安全的離線位置
- 建立域名註冊商的緊急聯繫管道，確認帳號恢復流程
- 準備替代的 DNS 服務商設定，以便在主要服務中斷時快速切換
事件發生時：
- 立即確認事件範圍：檢查哪些 DNS 紀錄被竄改、影響了哪些服務
- 聯繫域名註冊商：要求凍結域名並恢復正確的 DNS 設定
- 更換所有相關憑證：如果域名曾被劫持，攻擊者可能已取得偽造的 SSL 憑證
- 通知使用者與合作夥伴：透過社群媒體或其他管道告知狀況
- 記錄
事件 ：作為日後改善的依據時間 線與 處理 過程
事後復原：
- 徹底更換域名註冊商帳號的所有存取憑證
- 檢視並強化 DNS 安全設定
- 更新應變計畫，將本次事件的教訓納入
企業 DNS 安全防護檢查清單
以下是一份實用的檢查清單，建議每季至少檢視一次：
- 帳號安全：域名註冊商帳號是否啟用 2FA？密碼是否為高強度？
- 域名鎖定：clientTransferProhibited 狀態是否開啟？
- DNSSEC：是否已啟用？簽章是否有效且未過期？
- DNS 服務冗餘：是否使用至少兩家 DNS 服務商？
- 監控告警：是否設定 DNS 變更通知？是否有定期的自動化檢測？
- TTL 設定：各項紀錄的 TTL 值是否合理？
- Email 安全紀錄：SPF、DKIM、DMARC 是否正確設定？
- 存取控制：DNS 管理權限是否遵循最小權限原則？
- 應變計畫：是否有文件化的 DNS 安全事件應變流程？
- 備份：DNS 紀錄備份是否為最新版本？
DNS 安全不是一次性工作，是持續維護的過程。就像你會定期檢查實體店的門鎖跟保全，數位門牌也需要定期體檢。我會建議至少每季檢視一次這份清單，特別是 DNSSEC 簽章有沒有到期、域名鎖定有沒有開、帳號密碼有沒有照規定輪替。
元伸科技 24 年深耕客製化網頁設計、服務超過 3,000 家企業，在桃園、龜山、中壢處理過大量在地客戶的 DNS 設定與資安檢視。如果你正在規劃企業形象網站，或想知道現有網站的 DNS 安全有沒有破口，先聊聊也好。
