DNS服務器能夠將IP地址翻譯成域名，這就是為什么你可以在瀏覽器輸入cnw.com.cn來訪問我們的網站，而不需要記住IP地址。

當DNS被攻擊時，可能發生各種情況，不過，攻擊者經常使用兩種方法來利用被攻擊的DNS服務器。首先，攻擊者可以做的第一件事情是重定向所有入站流量到他們選擇的服務器。這使他們能夠發動更多的攻擊，或者收集包含敏感信息的流量日志。

攻擊者可以做的第二件事情是捕捉所有入站電子郵件。更重要的是，第二種做法還允許攻擊者發送電子郵件，利用受害者企業的域名以及其良好的聲譽。讓事情更糟的是，攻擊者還可以選擇同時做上述兩種攻擊行為。

專注于流量管理和DNS的Dyn公司首席技術官Cory von Wallenstein在一篇博客文章中介紹了三種常見的DNS攻擊類型以及應對方法。

第一種DNS攻擊類型被稱為緩存中毒攻擊，這種攻擊發生在攻擊者成功將惡意DNS數據注入到遞歸DNS服務器(由很多ISP運作)之后。從網絡拓撲的角度來看，這行類型的DNS服務器是最接近用戶的服務器，因此，對這些服務器的攻擊將會直接影響到連接這些服務器的特定用戶。

我們有阻止這種攻擊的有效辦法，并且，DNSSEC等標準能夠提供額外的保護。如果DNSSEC不可行，另一種解決方法就是限制需要保護的名稱服務器上的遞歸。遞歸用來確定服務器是僅處理其保存在緩存中的數據，還是服務器會到互聯網與其他服務器通信來找出最佳答案。

第二種類型的DNS攻擊需要攻擊者掌控一個或多個授權DNS服務器。授權DNS托管是Dyn公司向Twitter提供的服務類型。不過，Dyn沒有成為黑客集團敘利亞電子軍隊(SEA)的目標，所以其向Twitter提供的服務在周二的事件中沒有受到影響。

如果攻擊者能夠攻擊授權DNS服務器，這種攻擊的影響將是全球性的。雖然SEA最近的一次攻擊中沒有這樣做，但此前出現過。

在2009年，Twitter遭受了伊朗網絡軍隊的攻擊。該組織修改了DNS記錄，并重定向流量到他們控制的服務器。該組織之所以能夠修改DNS設置，是因為他們攻擊了一個Twitter員工的電子郵件賬戶，然后使用該賬戶來授權DNS更改。

抵御這些類型的攻擊的方法通常包括：高強度密碼，以及基于IP的ACL(可接受訪問控制列表)。此外，還應該對員工進行徹底的培訓，來防止社會工程學。

第三種類型的DNS攻擊也是很棘手的問題。這種攻擊是攻擊者攻擊域本身的注冊，然后使用這種訪問來更改分配到它的DNS服務器。

這也正是SEA攻擊的做法，在攻擊Twitter和紐約時報時，他們獲得了MelbourneIT的訪問權，該注冊機構負責這兩個目標域名，然后，攻擊者把授權DNS服務器改為他們自己的服務器。企業最好將授權服務器托管在企業內部，從而對其完全控制。