DNS 是 Active Directory 核心依賴，Win2003 域環境必須從部署第一天就強化 DNS 安全。

1. 啟用 AD 整合區域 (預設即為)

DNS 資料儲存在 AD 資料庫，隨 AD 複寫，不另存區域檔，提升效能並簡化管理，三角色 (DC、GC、DNS) 運作效率最佳。

2. 加密 DNS 傳輸 (IPSec)

• DNS 使用 TCP/UDP 53 埠，邊界防火牆針對 53 埠過濾，僅允許認證連線。
• 部署 IPSec 原則，加密用戶端與 DNS 伺服器間通訊，防止查詢竄改、偽造回應、快取投毒。

3. 持續監控連線，防禦 DoS

• DNS 需足夠頻寬服務查詢。
• 偵測到單一來源對 DNS 發起大量查詢 → 立即封鎖來源 IP 或斷開 DNS 網路，調查後再恢復。
• 成功的 DNS DoS 將直接癱瘓 AD 驗證與資源定位。

4. 動態安全更新 + 配額限制

• 預設「僅安全動態更新」：僅認證電腦可註冊/更新記錄，防止惡意註冊誤導用戶至釣魚站點。
• 配額限制：單一電腦預設最多註冊 10 筆記錄，防止單機洪水攻擊刷爆 DNS。
• DHCP/DC/多宿主伺服器需調高配額 (數百筆)，依功能區別設定。

5. 分離內外部命名空間 (Split-Brain DNS)

• 內部 DNS 解析私有資源 (檔案伺服器、印表機、內部 Web)。
• 外部 DNS 僅解析公開服務 (官網、郵件、VPN 入口)。
• 防火牆封鎖外部存取內部 DNS，避免內部拓撲洩露。

以上五層防護構建 DNS 纵深防禦，保障 AD 核心服務持續可用。