域名劫持：隱形的網路詐騙
域名劫持讓用戶在不知情下被導向仿冒網站（如假冒品牌購物網），竊取帳號密碼等敏感資訊。主要手段為 DNS 快取投毒或直接劫持域名解析。近期案例頻發：SANS 發現 1300 個知名品牌域名遭快取投毒；Panix 域名被澳洲駭客劫持；Hushmail 主域名解析被竄改指向駭客網站。APWG 已將其列為重點防範對象。隨著線上品牌與交易額增長，此類攻擊將更猖獗。
破解困境：從 BIND 根源著手
DNS 安全問題核心在於 BIND (Berkeley Internet Domain) 長期存在漏洞。專家建議：
- Ken Silva (VeriSign CSO)：遵循 DNS 管理最佳實踐。
- Johannes (SANS 研究主管)：持續修補 DNS 伺服器，保持最新狀態。
- Paul Mockapetris (DNS 協定設計者)：升級至 BIND 9.2.5+ 或部署 DNSSEC，可消除快取投毒風險；若無廠商支援（BlueCat、Cisco、F5、Lucent、Nortel 等）遷移極難。替代方案：TinyDNS、Microsoft DNS、PowerDNS、JH Software 等。
DNS 伺服器與域名管理最佳實踐清單
- 分離權威名稱伺服器：在不同網路段部署多台權威 DNS，提供冗餘。
- 內外部 DNS 物理或邏輯隔離：使用 BIND Views 或獨立伺服器；外部 DNS 開放遞歸查詢，內部 DNS 僅接受內部地址查詢並使用轉發器；關閉外部 DNS 遞歸功能。
- 限制動態 DNS 更新：僅允許授權設備發起動態更新。
- 限制區域傳送 (AXFR/IXFR)：僅授權次級 DNS 伺服器可執行區域傳送。
- 啟用交易簽名 (TSIG)：對區域傳送與動態更新進行數位簽名驗證。
- 隱藏 BIND 版本資訊：修改
version.bind 回應，避免洩露版本細節。
- 精簡 DNS 伺服器服務：移除 FTP、Telnet、HTTP 等非必要服務，減少攻擊面。
- 部署網路邊界與主機防火牆：僅開放 DNS 所需埠 (UDP/TCP 53) 及管理埠，其餘一律封鎖。
域名註冊商與註冊局層面的防護
- 啟用域名鎖定，防止未授權轉移/修改。
- 採用強密碼與多因子認證保護註冊商帳號。
- 定期核對 WHOIS 資訊與 NS 記錄，異常即刻處理。
- 選擇支援 DNSSEC 的註冊商並啟用簽名。
結語
域名劫持技術與組織層面解決複雜，但透過 DNS 伺服器加固、最佳實踐落實、註冊商帳號防護、DNSSEC 部署等雙重策略，可大幅降低風險，守住企業線上品牌與用戶信任的命脈。