在講解OneDNS如何發揮網絡安全防禦效果之前，先了解下什麼是DNS
一、網際網路中的GPS——DNS
DNS：域名系統(DomainNameSystem)的縮寫，網際網路的一項核心服務，相當于網際網路的GPS。 可以看成一個巨大的通訊錄，主機通路域名時，把網址解析為對應IP位址給出終端。
我們可以把DNS看做是一個分布式資料庫，命名系統采用層次的邏輯結構，如同一顆倒置的樹，這個邏輯的樹形結構稱為域名空間，由于DNS劃分了域名空間，是以各機構可以使用自己的域名空間建立DNS資訊。
DNS域名空間中，樹的最大深度不得超過127層，樹中每個節點最長可以存儲63個字元。，DNS樹的每個節點代表一個域，通過這些節點，對整個域名空間進行劃分，成為一個層次結構。域名空間的每個域的名字，通過域名進行表示。
什麼是遞歸DNS？
我們可以把遞歸DNS看成一個巨大的通訊錄，根據域名查出IP位址，進行網絡通路。
為什麼要在擷取ip位址？
因為計算機并不認識www.aaa.com這樣的域名，域名隻是人們為了友善閱讀和記憶被創造出來的。
如果沒有域名，我們每次浏覽網頁都要輸入一串ip位址，這會造成諸多不便。是以遞歸DNS起到了将域名翻譯成IP的作用，使使用者完成域名通路。
公網通路網際網路解析流程：
DNS安全風險：
DNS是網絡威脅流通的主管道，監控、存儲、分析DNS資料對企業網絡安全建設有着極其重要的意義，然 而幾乎所有的企業都允許DNS協定類型資料封包不受限制的傳輸，DNS覆寫超過91.3%的惡意軟體與遠控的通信。
針對遞歸DNS的攻擊：Dos&DDos、緩存投毒、伺服器劫持、 DNS劫持、DNS欺騙、DNS重綁定…
利用遞歸DNS的攻擊：C&C域名、惡意DGA域名、惡意軟體、 釣魚網址、色情網址、黑産廣告網址…
二、OneDNS是什麼?
2.1 簡介
OneDNS 網際網路安全接入服務是北京微步線上科技有限公司提供的具備安全防護能力的 DNS 遞歸解析服務，該服務可以保護任何一台終端、任何一個辦公職場、任何一個家庭均可安全地接 入到網際網路，為企業和家庭使用者有效防護：惡意軟體、勒索病毒、APT 攻擊、釣魚連結、非法站點。并且屏蔽各類廣告騷擾和欺詐類網站，淨化網絡環境，保護資料安全。
2.2 功能概述
阻斷軟體惡意攻擊：
OneDNS可以有效組織惡意軟體攻擊。
内置的OneDNS WebGuard威脅站點攔截引擎，阻斷帶有惡意軟體、惡意腳本的站點，或者釣魚站點，防止您中招或使用者資料被竊。
機器好像已經中招了該怎麼辦？阻斷已中招的機器與攻擊者之間的惡意網絡通信，避免機器進一步的資料失竊、系統被破壞，或者被勒索加密等。
為防止DNS解析服務被濫用，OneDNS個人版對來自每個IP位址的解析請求量做了限制，我們保證這一門檻值足夠家庭及個人使用者使用。
減少廣告騷擾：
過多的廣告騷擾是非常影響我們的浏覽體驗的，這個困擾OneDNS就可以解決這一問題。
屏蔽廣告騷擾，優化頁面加載速度，節約流量的同時讓上網體驗更優。屏蔽擷取個人資訊用于廣告推送的站點，減少個人隐私資料洩漏。
三、基于OneDNS規避網絡安全風險
3.1 OneDNS原了解析：在DNS基礎上進行改造更新
改造後的，新的網絡請求鍊路如下圖所示：
OneDNS拿到請求域名，與雲端情報庫實時碰撞，安全域名穩定高效解析，傳回解析IP給使用者進行通路； 檢測到惡意域名不做解析，直接攔截，傳回攔截頁面，實作安全防護。
3.2 OneDNS高性能防禦：
OneDNS可以全面防護新型威脅及變種，確定任何一台終端、任何一個辦公職場安全地接入到網際網路，有效防護惡意軟體、勒索病毒、APT攻擊、釣魚連結、非法站 點等多種新型進階威脅，實作檢測、攔截、定位、驗證閉環。
3.3 核心能力
電腦終端高性能威脅防護：風險網站情報搜集同步至雲端，99.9%的情報準确度。全面防護惡意軟體、勒索病毒、APT攻擊、釣魚連結、非法站點等。
安全閉環：威脅檢測、自動攔截、失陷定位、 程序驗證，提升安全營運效率高、 輕松無憂。與防毒軟體及時互補。
遠端辦公安全防護： 輕松安裝上千終端 随時随地、自動接入OneDNS防護 進入辦公區自動切換到企業内部網絡。
3.4 OneDNS防護實作檢測、攔截、定位、驗證閉環
檢測進階威脅：利用DNS進行網絡上的防 護，全面檢測各類新型高 級威脅及其變種。
定位惡意程序：定位威脅機器的程序源頭， 以及執行的程序鍊條。
實時攔截阻斷：一旦檢測到惡意軟體運作， 直接阻斷惡意軟體與遠控 端的通信。
定位内網主機：定位到内部失陷終端和員工， 實作進一步的分析、溯源和 清理工作。
OneDNS可以基于自己的Dashboard一覽内網威脅情況， 提供多視角、可視化的資料報表 分析，支援自定義生成報告。此外，它還提供了本地态勢感覺對接API，提供API能力與本地日志平台、 态感平台進行對接，輸出 OneDNS全量防護資料。
3.5 SaaS化部署方式和接入流程
部署方式：
方式一：在内部DNS伺服器上配 置轉發器，将DNS請求 轉發到OneDNS；
方式二：在DHCP伺服器上配置 DNS位址，将OneDNS 位址下發到每一台終端；
方式三：在具備DNS代理功能的 防火牆或上網行為管理 裝置，配置OneDNS作 為目标DNS；
方式四：遠端辦公的漫遊終端 安裝OneDNS Agent， 自動配置到OneDNS。
接入流程：
第一步，首先是驗證網絡出口，将測試所有出口IP錄入OneDNS。第二步設定DNS位址，修改網際網路遞歸DNS位址，指向OneDNS即可實作接入。
3.6 Agent-終端驗證定位原理
流程如下圖所示：
3.7 OneDNS網絡安全防禦相比于代理技術或者防毒軟體的優勢?
網絡代理技術實作網絡防護：它不具備惡意軟體外聯的的檢測和防護能力，因為惡意軟體通信不一定都走HTTP協定，且對釣魚、DNS隧道不具備防護能力。
防毒軟體：基于簽名的方式對新型威脅、惡意軟體的響應速度很慢，容易被攻擊者繞過，在對抗中容易被關閉、被禁用，或者自身的機制被惡意軟體利用。
是以OneDNS安全防護是對目前現有終端安全防護技術的有效補充。
四、下載下傳安裝
位址：https://page.ma.scrmtech.com/landing-page/index?pf_uid=15831_1728&id=12702&channel=30326
公益版本接入流程：
下載下傳網絡檢查工具：
配置企業DNS：
服務接入三步驟結束後，可以繼續進行自定義網絡攔截政策配置，然後即可使OneDNS發揮效果～
五、個人版配置和使用OneDNS流程
下載下傳完成OneDNS用戶端之後，接着開始配置開啟OneDNS：
1、在電腦工作列中右鍵點選網絡圖示，選擇“打開網絡和共享中心”
2、在右側的檢視活動網絡中，單擊目前已連接配接的網絡。（如果你有多個網絡連接配接，請選擇目前正在使用的連接配接）
3、點選屬性按鈕
4、選擇中Internet 協定版本 4 (TCP/IPv4)，再單擊屬性
5、選擇“使用下面的 DNS 伺服器位址”，首選DNS伺服器和備用DNS伺服器分别填寫117.50.11.11和52.80.66.66，點選“确定”
六、測試攔截功能
點選以下連結 http://test.onedns.net（請放心，這隻是一個無害的測試頁面）。如果看到一個攔截頁面，則證明OneDNS已經在你的網絡中有效運作。
若顯示其他内容，則表明OneDNS配置未生效，建議您進行以下排查：
1、檢查DNS配置位址是否填寫正确。
2、清除浏覽器DNS緩存或打開無痕模式通路測試連結 點選檢視如何清除浏覽器DNS緩存。
3、清除本機DNS緩存 點選檢視如何清除本機DNS緩存。
————————————————
版權聲明：本文為CSDN部落客「興趣使然的草帽路飛」的原創文章，遵循CC 4.0 BY-SA版權協定，轉載請附上原文出處連結及本聲明。
原文連結：https://blog.csdn.net/weixin_43591980/article/details/125711772