中國域名服務(wù)安全狀況與態(tài)勢分析報告2023-中國互聯(lián)網(wǎng)絡(luò)信息中心

12 3 4 5 5 2 2 3 3 4 5 5 5 6 6 8 8 8 9 9 20 21 22 233專業(yè)術(shù)語表DistributedDenialofSeExtensionMechanismsforDNSVersion0InternetAssignedNumbersAuthInternetCorporationforAssignedNamesandNumbers互聯(lián)網(wǎng)名稱與數(shù)字地址分配InternetProtocolversion4InternetProtocolversion6NSTransmissionControlPUserDatagramProtocol4持率達到92.0%對外服務(wù)性能繼續(xù)提升，頂級域名安全配置趨于穩(wěn)定。三是在二級及以下權(quán)威域名服務(wù)方面，我國二級及以下權(quán)威域名服務(wù)在IPv6、相比去年的4.0%有顯著提升而國內(nèi)重點權(quán)威域名服務(wù)但國內(nèi)主要遞歸域名服務(wù)在安全協(xié)議支持程度上遠高于國內(nèi)遞歸域名服務(wù)的平關(guān)鍵詞：DNS、安全態(tài)勢、權(quán)威域名、遞歸域名、DNSSEC5域名服務(wù)提供了從互聯(lián)網(wǎng)域名到互聯(lián)網(wǎng)I名服務(wù)安全直接影響到整個互聯(lián)網(wǎng)的安全，是網(wǎng)絡(luò)空間安全治理的一個重要方為了能夠?qū)ξ覈蛎?wù)體系的運行安全態(tài)勢進行全面、有效的把握和研判，中國互聯(lián)網(wǎng)絡(luò)信息中心（CNNIC）基于自主建設(shè)的國家互聯(lián)網(wǎng)基礎(chǔ)資源大2、域名服務(wù)安全狀況22.1根域名服務(wù)2.1.1簡介），400300200100034532834520911981l6121661216ABCDEFGHIJKLM鏡像數(shù)量32.1.2系統(tǒng)軟件服務(wù)器使用了NLnetLabsNSD和KnotDNS等其他軟名服務(wù)器運營機構(gòu)重新選擇了ISCBIND軟件，其地位仍然穩(wěn)固。2.1.3協(xié)議支持所需的時間。若要消除域名劫持風(fēng)險，現(xiàn)行有效的解決方案就是部署DNSSEC域名服務(wù)器均已配置IPv6地址，從而實現(xiàn)了對IPv6查詢的全面支持。隨著42.1.4服務(wù)性能個位于我國大陸，2023年在工信部對設(shè)立域名根服務(wù)及域名根服務(wù)運行機構(gòu)進2018201920202209173120157145169919518919221200230209173120157901007250668058302438901007250668058302452.2頂級域名服務(wù)2.2.1簡介2.2.2系統(tǒng)軟件86%。在域名解析軟件方面，2023年監(jiān)測數(shù)據(jù)顯示級域名運營機構(gòu)更換其他DNS解析軟件后又重能（比例與去年接近仍然具有一定的安全隱患。本62.2.3協(xié)議支持有92.00%的頂級域名部署了DNSSEC驗證服務(wù)，所支持的加密算法仍以注意的是，仍然有3.04%的DNSSEC頂級域名服務(wù)器采用傳統(tǒng)的NextSECure（NSEC）機制，該機制具有區(qū)文件被遍歷、枚舉從而泄露所管理的域名解析數(shù)2.2.4服務(wù)性能7級域名服務(wù)器的遞歸服務(wù)開啟比例為3.0%，與去年基本持平。建議器間域名數(shù)據(jù)不一致的風(fēng)險。監(jiān)測顯示，2.40%的頂級域名具有授權(quán)數(shù)權(quán)威域名服務(wù)器通過設(shè)置TTL值來決定其權(quán)威數(shù)據(jù)在遞歸服務(wù)器緩201820192020202120222021.360.622.222.86.86.89.79.86.86.8300s-3600s3600s-10800s10800s-86400s>86400s82018202.3二級及以下權(quán)威域名服務(wù)2.3.1簡介2.3.2系統(tǒng)軟件監(jiān)測數(shù)據(jù)顯示，作為二級及以下權(quán)威域名服務(wù)器所使用的主流操作系統(tǒng)類9ISCBIND和MeilofVeeningenPosadis是二級及以下此外，40.01%的ISCBIND軟件仍舊開啟版本應(yīng)答功能（去年該比例為40.22%開啟此功能有助于攻擊者更好地確定系統(tǒng)漏洞進行攻2.3.3協(xié)議支持2.3.4服務(wù)性能20182019202031.55.21.71.51.00.62.82.35.21.71.51.00.61234567>742.326.315.06.58.67.815.087.2201820192020(1)<0.1s(2)0.1s~0.2s(3)0.2s~0.3s(4)0.3s~0.4s(5)0.4s~0.5s(6)6.72.91.30.60.20.20.10.10.10.76.712345678910112.3.5重點權(quán)威域名服務(wù)監(jiān)測顯示，重點權(quán)威域名服務(wù)器采用Unix或Linux操作系統(tǒng)的比例為以下域名相比，重點權(quán)威域名服務(wù)的協(xié)議支持情況相對較好，但總體上對于37.22018201937.22018201912.810.06.15.82.82.22.72.82.21234567>731.5國內(nèi)國內(nèi)重點12.810.05.22.86.15.22.82.32.22.82.71.71.51.00.62.32.22.82.71.71234567>72018201920202018<300s300s-3600s3600s-93.8201820192020(1)<0.1s(2)0.1s~0.2s3.62.10.50.00.00.00.00.00.00.0國內(nèi)重點93.8國內(nèi)重點93.880.3(1)<0.1s(2)0.1s~0.2s(3)0.2s~0.3s(4)0.3s~0.4s(5)0.4s~0.5s(6)0.5s~0.6s(7)0.6s~0.7s(8)0.7s~0.8s(9)0.8s~0.9s(10)0.9s~1s9.61.60.53.64.02.1 0.70.00.40.00.50.00.30.00.30.00.30.02.10.01.60.53.64.02.1 2.4遞歸域名服務(wù)2.4.1簡介2.4.2系統(tǒng)軟件器所主要使用的三大域名解析軟件，使用比率分別占到了33.10%和22.00%和15.20%。其中，使用ISCBIND的遞歸域名服務(wù)器中開啟版本應(yīng)答的比例為2.4.3協(xié)議支持DNSSEC20181.10.80.50.45.62019202086.498.40.30.26.40.3<512B512B-1024B1024B-2048B2048B-3072B>3072B100.0100.0201869.22019202020.110.70.00.00.020.110.70.00.0優(yōu)良差2.4.4服務(wù)性能84.620182019202084.6(1)<0.1s(2)0.1s~0.2s(3)0.2s~0.3s(4)0.3s~0.4s(5)0.4s~0.5s(6)5.71.72.11.40.50.30.20.50.42.612345678910112.4.5主要遞歸域名服務(wù)內(nèi)主要遞歸域名服務(wù)的DNSSEC支持率同樣偏低，僅有2.00%，如圖25、圖262018202020192020202220212022202385.59595.82.92.592.42.92.592.4<512B512B-1024B1024B-2048B2048B-3072B>3072B為優(yōu)的服務(wù)器比例達到了100%，明顯高于國內(nèi)遞歸域名服務(wù)的整體平均水平20182019202020212022202399.1100.0100.00.90.00.00.00.00.0優(yōu)良差98.4100.0國內(nèi)國內(nèi)主要1.00.00.692.367.319.220182019202067.319.2(1)<0.1s(2)0.1s~0.2s(3)0.2s~0.3s(4)0.3s~0.4s1.14.6II-5.50.4·1.60.32.40.10.80.20.00.21.60.21.60.10.00.50.01.1123456789101167.319.284.667.319.2國內(nèi)遞歸國內(nèi)主要(1)<0.1s(2)0.1s~0.2s(3)0.2s~0.3s(4)0.3s~0.4s(5)0.4s~0.5s(6)0.5s~0.6s(7)0.6s~0.7s(8)0.7s~0.8s(9)0.8s~0.9s(10)0.9s~1s(11)>1s5.75.51.72.11.61.42.40.50.80.30.00.21.60.51.60.40.0123456789103、域名服務(wù)安全總體評估3.1權(quán)威域名服務(wù)安全指標值含義0≤#<0.4服務(wù)安全差，如存在配置漏洞0.4≤#<0.7服務(wù)安全良，如無配置漏洞0.7≤#≤1服務(wù)安全優(yōu)，如具有若干安全防護配置66.7201820192021202211.22.60.60.32.689.696.289.6