国内部分二级单位DNS解析污染溯源排查，强调权威解析自主可控

近期国内针对部分机关、事业单位二级下属单位开展DNS解析污染专项溯源排查工作。本次排查重点面向各单位对外业务域名、内部业务子域名，定位解析劫持、缓存投毒、异常污染等风险，明确提出权威域名解析基础设施自主可控的建设要求，补齐二级单位普遍存在的DNS安全短板。

一、事件背景：二级单位DNS资产容易形成防护洼地

很多主管单位主站、核心业务系统安全防护体系完善，但下属二级单位、分支机构、项目小组独立管理域名。存在分散运维、外包托管、DNS服务商混用的情况。部分二级单位图便捷，直接选用境外公共DNS、第三方免费公共解析，或者把权威NS托管在外部商业平台，缺少对解析链路、日志、变更权限的管控。

DNS作为互联网访问的第一层基础设施，一旦权威解析被污染或者递归解析遭劫持，用户访问请求会被导向仿冒站点、空白页面或恶意IP。不同于服务器漏洞入侵，DNS污染属于链路层劫持，业务服务器本身完好，但域名解析结果被篡改，隐蔽性强，排查定位难度大。二级单位业务体量小、IT人手不足，长期缺少常态化DNS审计，成为风险高发区域。

本次专项排查并非大规模全网事件，属于常态化安全巡检，重点目标是摸清二级单位域名资产清单，区分权威解析服务器、递归解析服务器，核查解析链路是否存在不可控外部节点，梳理污染事件发生时间、影响范围、污染特征，形成完整溯源证据链。

二、排查重点核查项

1、权威NS归属核查

检查域名权威服务器托管主体，确认权威解析是否交由境外服务商、不受管控第三方平台；权威服务器是域名安全源头，若权威NS不可控，风险等级最高。

2、解析日志留存与审计能力

核查权威解析、递归解析的访问日志、变更日志，确认记录留存时长，发生异常解析记录篡改时，能否回溯时间线用于溯源。很多二级单位DNS无日志，出现污染后无法定位根因。

3、域名记录变更管控流程

检查CNAME、A、MX、NS记录修改权限，是否存在多人共用账号、外包人员长期高权限、无审批直接修改解析记录的情况。
4、递归DNS选型安全审查

区分内部业务递归解析与终端公共DNS。禁止关键业务终端直接使用境外公共递归DNS；内部业务优先部署自建可控递归解析集群，减少外部链路依赖。

5、子域名悬空记录与接管风险

同步排查悬空CNAME、废弃子域名，一并处置子域名接管、DNS配置遗留类隐患，和子域名接管风险排查形成联动。

三、核心要求：权威解析自主可控的内涵

本次排查重点强调的权威解析自主可控，核心包含四层含义：

1、权属可控：域名本身注册信息、域名管理账号权限掌握在本单位体系内，不长期托管外包商全权管理。

2、权威解析服务可控：域名的权威NS服务器，部署在可信基础设施内，由可信团队运维；避免将核心业务域名权威解析托管境外平台。

3、变更行为可控：所有解析记录修改、新增、删除操作有审批、留痕、双人复核，杜绝单点账号随意篡改。

4、观测能力可控：具备解析流量监控、异常告警能力，一旦出现解析结果异常、大量异常查询，能够实时感知。

四、二级单位常见典型问题

1、下属部门独立注册域名，上级单位无资产台账，长期处于监管盲区。

2、域名交由外包服务商管理，外包离职后域名/NS权限遗留，无法收回。

3、权威解析托管境外DNS平台，国内运维人员无法完整查看底层日志。

4、业务上线只关心能不能解析，下线不清理DNS记录，产生悬空记录。

5、缺少DNS监控，解析污染发生后，业务用户反馈故障才被动发现，无告警。

总结

本次针对二级单位DNS解析污染的溯源排查，暴露出分支机构DNS分散运维带来的基础设施风险。很多机构防护重点放在Web服务器、应用系统，低估DNS这一层底层链路安全。

权威解析自主可控不是简单“不用外部DNS”，而是守住域名权威数据源、掌握权限、日志、观测与应急处置能力。对于多级架构的机构，域名资产统一台账、权威解析收拢管控、解析行为持续监测，是防范DNS污染、劫持与子域名接管的基础抓手。