Azure DNS 提供了一种可靠且安全的方法来托管 DNS 域和管理 Azure 中的 DNS 记录。 作为将域名转换为 IP 地址并路由 Internet 流量的关键网络服务，保护 DNS 部署对于防止 DNS 攻击、未经授权的更改和服务中断（可能会影响整个基础结构）至关重要。
本文提供有关如何最好地保护 Azure DNS 部署的指导。
网络安全
Azure DNS 的网络安全性侧重于保护 DNS 基础结构免受外部威胁，并确保 DNS 解析服务保持可用和安全。 适当的网络控制有助于防止 DNS 攻击和维护服务完整性。
将专用 DNS 区域用于内部资源：在虚拟网络中部署 Azure 专用 DNS 区域进行内部名称解析，以防止向公共 DNS 服务器公开内部 DNS 记录。 专用 DNS 区域将内部基础结构隐藏在外部侦察中。
实现自动更新的别名记录：在基础资源发生更改时，使用 DNS 别名记录自动更新 IP 地址引用，从而防止可能将用户重定向到已泄露或不正确的资源的过时 DNS 条目的安全风险。 有关详细信息，请参阅 Azure DNS 别名记录概述。
特权访问
Azure DNS 的特权访问管理可确保只有经过授权的用户才能修改 DNS 区域和记录，同时遵循最低特权原则。 适当的访问控制可防止未经授权的 DNS 更改重定向流量或损害服务。
实现基于角色的访问控制：使用 Azure 基于角色的访问控制（RBAC）通过内置角色分配管理对 DNS 资源的访问。 根据每个用户、组、服务主体和托管标识的特定职责分配角色。 有关详细信息，请参阅 如何保护 DNS 区域和记录。
使用精细 DNS 权限：分配特定的 DNS 角色，例如 DNS 区域参与者或专用 DNS 区域参与者，而不是广泛的管理角色。 为精细控件创建自定义角色，例如允许用户仅管理特定记录类型（如 CNAME 记录）。 有关详细信息，请参阅 如何保护 DNS 区域和记录。
应用区域级别和记录级访问控制：在不同级别（订阅、资源组、单个 DNS 区域或单个记录集）配置 RBAC 权限，以确保用户只能访问其职责所需的 DNS 资源。
为关键区域实施资源锁：将 Azure 资源管理器锁应用于 DNS 区域和记录集，以防止意外删除或修改。 使用 CanNotDelete 锁防止区域删除和 ReadOnly 锁以防止所有更改。 有关详细信息，请参阅 如何保护 DNS 区域和记录。
应用最低特权原则：仅向用户授予执行其 DNS 管理任务所需的最低权限。 使用特定的 DNS 角色，而不是广泛的管理角色来限制潜在的安全风险。
安全管理访问：为有权修改 DNS 区域和记录的所有用户实施多重身份验证和特权访问工作站。
定期访问评审：定期评审用户权限和对 DNS 资源的访问权限，以确保访问权限保持适当，并遵循最低权限原则。
数据保护
Azure DNS 的数据保护侧重于保护 DNS 数据完整性，并防止未经授权的访问 DNS 配置信息和查询数据。
使用深度防御进行区域保护：同时实现自定义角色和资源锁，作为全面的深度防御方法，以保护关键 DNS 区域免受意外或恶意更改的影响。
实现双重删除过程：对于关键区域，请使用不包含区域删除权限的自定义角色。 如果没有删除权限，管理员必须先授予删除权限，然后执行删除作为双重过程，以防止意外删除区域。
保护 DNS 查询完整性：监视 DNS 查询模式，以检测潜在的 DNS 隧道尝试、对已知恶意域的查询，或可能指示通过 DNS 通道泄露数据的其他泄露指标。
日志记录和威胁检测
对 Azure DNS 进行全面的日志记录和监视可提供对 DNS 查询模式和潜在安全事件的基本可见性。 日志记录和监视可实现有效的威胁检测、安全调查，并帮助满足合规性要求。
启用 Microsoft Defender for DNS：使用 Azure Defender for DNS 监视 DNS 查询并检测可疑活动，而无需在资源上使用代理。 Azure Defender for DNS 为基于 DNS 的攻击提供实时威胁检测。 有关详细信息，请参阅 Microsoft Defender for DNS 概述。
配置 Azure 资源日志：为 Azure DNS 服务启用资源日志以捕获详细的 DNS 查询信息，并将其发送到 Log Analytics 工作区、存储帐户或事件中心进行分析和长期保留。 有关详细信息，请参阅 Azure DNS 指标和警报。
设置监视和警报：配置 Azure Monitor 警报，以在检测到异常 DNS 查询模式、配置更改或潜在安全威胁时通知管理员。
监视 DNS 查询分析：分析 DNS 查询日志，以识别异常流量模式、潜在的 DNS 隧道尝试或对已知恶意域的查询。
启用审核日志记录：跟踪对 DNS 区域和记录的所有管理更改，以保持全面的审核线索，以实现合规性和安全调查目的。
监视意外更改：创建警报以检测意外 DNS 区域或记录更改，并快速响应安全事件或错误。
资产管理
Azure DNS 的资产管理涉及实现治理控制、监视配置并确保符合组织安全策略。 适当的资产管理有助于维护安全架构和运营可视性。
实施 Azure Policy 治理：使用 Azure Policy 监视和强制实施 Azure DNS 资源的配置。 配置策略以审核和强制实施跨 DNS 区域和记录的安全配置。 有关详细信息，请参阅 Azure 网络服务的 Azure Policy 内置定义。
使用 Microsoft Defender for Cloud：通过 Microsoft Defender for Cloud 配置 Azure Policy 来审核和强制实施 DNS 资源的配置。 检测到配置偏差时创建警报。
应用配置强制：使用 Azure Policy 的“拒绝”和“部署-如果不存在”效果，强制实施 Azure DNS 资源的安全配置，并防止不合规的部署。
维护资源清单：保留 DNS 区域、记录集及其配置的详细记录，以支持安全评估和合规性报告。
实现资源标记：为组织、成本跟踪和安全合规性目的将一致的资源标记应用于 DNS 资源。
监视配置符合性：定期根据组织的安全标准查看 DNS 配置，并使用 Azure Policy 自动检测和修正配置偏移。
文档区域依赖项：维护 DNS 区域关系和依赖项的文档，以了解更改的影响，并确保正确的更改管理过程。