前言

DNS 是 Active Directory (AD) 核心依賴服務，用於定位網域控制站、全域目錄、檔案/列印/郵件等資源。DNS 安全直接關係 AD 存活，必須從部署之初建立防護。

八大關鍵措施

1. 啟用 AD 整合 DNS 預設設定： 僅在 DNS 伺服器儲存 DNS 資料，不複製網域控制站/全域目錄資訊，提升速度與效率。
2. 加密 DNS 傳輸 (TCP/UDP 53)： 在安全邊界過濾 53 連接埠，確保只接受認證連線；部署 IPSec 加密客戶端與伺服器通訊，防止請求偽造與竄改。
3. 持續監控連線流量： 如發現來源大量連向 DNS 伺服器，可能為 DoS 攻擊，立即切斷來源或隔離伺服器調查。成功的 DNS DoS 將癱瘓 AD。
4. 動態安全更新 (預設)： 僅認證用戶端可註冊/更新記錄，防止攻擊者竄改 DNS 導向釣魚網站。
5. 設定 DNS 配額限制： 預設用戶端僅能註冊 10 筆記錄，防止單一用戶端發動 DNS 水淹攻擊。注意：DHCP、網域控制站、多宿主伺服器需更高配額。
6. 分離內外部命名空間： 內部 DNS 解析內部資源，外部 DNS 解析公開服務，阻擋外部存取內部 DNS，防洩露內部拓撲。
7. 保護 DNS 快取與區域傳輸： 限制區域傳輸僅限授權伺服器，停用開放遞迴查詢。
8. 定期稽核 DNS 記錄與事件日誌： 檢查異常註冊、未授權修改、解析失敗模式。

結語

無論純 Windows 或混合環境，DNS 安全都是網路核心。採取上述措施，可構建纏繞防禦，保障 AD 穩健運作。