DNS 在攻击与防御中的角色

DNS 处于每一次连接的最前端，因此它同时出现在安全对抗的两侧：攻击者依赖域名的选取和解析方式，防御者则用同一套系统来屏蔽已知的有害目的地。有三种 DNS 的用法值得单独了解。

钓鱼与仿冒域名

一个钓鱼网站并不需要攻破 DNS；它只需要一个足够接近、能骗过匆忙浏览的读者的域名。美国网络安全和基础设施安全局（CISA）正是这样描述这种模式的：“恶意网站可能看起来与正规网站一模一样，但其 URL 可能在拼写上有细微差别，或使用不同的域名（例如 .com 与 .net 之分）。”CISA 还建议在信任一个链接之前，先检查它实际指向哪里：“如果你把光标悬停在邮件正文中的任何链接上，而悬停时显示的链接与文字内容不符，那么这个链接可能是伪造的。”

DNS 屏蔽

由于设备必须先询问解析器才能抵达一个网站，控制该解析器的一方就能悄无声息地阻止连接从一开始就发生。电子前哨基金会直白地解释了这个机制：“ISP 可以设置其 DNS 解析器，在用户尝试查询某个被屏蔽的网站或服务的地址时，给出一个错误的答案，或者干脆不给答案。”换用一个诚实作答的解析器可以恢复访问，而使用加密 DNS（上一课的内容）能再加一层保护，因为它能够“阻止任何网络参与方看到（并过滤）你的 DNS 流量”。EFF 也指出了这种方法的局限：“如果你正在使用 1.1.1.1 或 8.8.8.8 这类广受欢迎的加密 DNS 服务，要意识到政府可以直接针对这些端点”。

DNS 隧道

DNS 流量通常被防火墙毫无阻拦地放行，这也使它本身可能被滥用为一条数据通道。MITRE ATT&CK——一份被广泛使用的真实攻击者手法目录——把这种做法称为 DNS 隧道：“攻击者可能滥用 DNS，在与受害者网络中受其控制的系统通信的同时，伪装成正常、符合预期的流量。”实际操作中，这意味着指令或窃取的数据被编码进 DNS 查询和应答之中，混杂在每台设备时刻都在进行的正常查询里而不被察觉。这是一种建立在原本普通、且不可或缺的协议之上的手法，这也是网络难以将其彻底屏蔽的部分原因。

如何选择解析器

没有哪个解析器能被简单地称为“安全”：每一种选择都只是把可见性转移到了别处。Cloudflare 指出，它自己的公共解析器 1.1.1.1“同时支持 DoT 和 DoH”，其他公共解析器也提供同样的加密选项；无论你选择哪一个，正如前面关于可见性的那堂课所讲的，该运营方就会成为能看到你查询内容的一方。一个同时会屏蔽已知恶意域名的解析器，可以阻止某次查询抵达一个已确认的钓鱼或攻击域名，但它只是一层过滤，并不能保证每一个危险域名都在它的名单上。

以上这些都不意味着任何单一设置能让一台设备变得绝对安全：DNS 只是众多防护层中的一层，而有决心、资源充足的攻击者会绕开任何单一的防御手段。任何面临具体、严重威胁的人——记者、活动人士，或正遭受针对性监控的人——比起一份清单，更应该寻求专业帮助。Access Now 数字安全热线为处于风险中的个人和组织提供免费、直接的技术援助，新闻自由基金会也为记者提供类似的数字安全指导。