01 · 事件分级
按"影响范围 × 危害程度"将DNS劫持事件分为三级，决定响应优先级与通报范围：
| 级别 | 判定 | 响应要求 |
|---|---|---|
| Ⅰ级（重大） | 权威/注册被改（H-4）、关键基础设施/金融/政务域名被劫持、出现非法证书 | 立即应急 + 上报监管 + 注册商/注册管理机构联动 |
| Ⅱ级（较大） | 递归/链路系统性污染（H-3/H-6）影响某地域/运营商用户、缓存投毒（H-5）大面积命中 | 快速定位链路/解析器 + 通报运营商 + 视情上报 |
| Ⅲ级（一般） | 单终端/单网关被改（H-1/H-2）、局部短暂异常 | 终端/网关处置 + 记录归档 |
02 · 取证要素
取证目标是在"攻击者清除痕迹前"固定证据链，覆盖六类要素：
| 要素 | 采集内容 | 工具/方法 |
|---|---|---|
| ① 解析报文 | 受害端的DNS query/response（含TXID、源端口、TTL、应答IP、是否含RRSIG） | Wireshark/tcpdump 抓包；多解析器比对记录 |
| ② 证书 | 被导向站点的TLS证书（签发者、有效期、是否出现在CT日志） | crt.sh、浏览器证书查看器、CT监控 |
| ③ 网络路径 | 到权威/目标的路由（是否BGP异常）、链路是否存在抢答 | traceroute、BGP观测（如RIPE RIS）、OONI |
| ④ 时间线 | 首次异常时刻、TTL到期/恢复时刻、变更记录 | 被动DNS时间线、日志聚合 |
| ⑤ 账户/配置 | 注册商账户登录日志、NS/A记录变更、本机hosts/网关DNS | 注册商后台审计、终端/网关配置快照 |
| ⑥ 样本 | 若涉恶意软件（H-1），提取样本与C2域名 | 沙箱、EDR取证 |
取证纪律：①先"固定"后"处置"——在清除前完成抓包与记录，避免"恢复了却无法定责"；②遵循合法授权与《个人信息保护法》，不采集无关个人信息；③对H-4类事件，第一时间联系注册商/注册管理机构冻结变更（Registry Lock），防止攻击者二次改回。
03 · 监管通报流程
在中国语境下，DNS劫持/篡改事件应按"先止损、再通报、协同处置"原则，向以下渠道报告（依事件级别与性质选择）。制度依据上，《互联网域名管理办法》（工信部令第43号，2017-11-01施行）明确了注册服务机构的解析安全义务与域名实名制要求，是H-4类事件处置的直接规章依据。
- 国家互联网应急中心（CNCERT/CC）：接收网络安全事件报告与协调处置，是境内事件的主要技术协调入口。
- 12321 网络不良与垃圾信息举报中心：受理垃圾/不良信息及相关网络危害举报。
- 12377 违法和不良信息举报中心（中央网信办）：受理违法和不良信息举报，涉政类与重大违规由此归口。
- 域名注册商 / 注册管理机构：对H-4类（NS/A被改），立即向注册商申请回滚并启用注册锁（Registry Lock）；.cn域名可通过CNNIC相关投诉举报渠道（tsi.cnnic.cn）。
- 运营商安全应急：对H-3/H-6类地域性污染，通报对应运营商协助在解析器/链路上阻断。
- 公安网安：涉嫌犯罪的（诈骗、非法控制计算机信息系统），依法向公安机关网安部门报案。
合规边界：通报与处置须遵守《网络安全法》《数据安全法》《个人信息保护法》及《关键信息基础设施安全保护条例》（2021）。对外披露事件前应完成内部定级与审批，避免泄露敏感信息；对关键信息基础设施相关域名，须按等保与关基要求执行上报与协同。
04 · 处置与加固
确认事件后，按"止损 → 恢复 → 加固"三步，并对照类别下药：
| 类别 | 止损动作 | 加固动作 |
|---|---|---|
| H-1 终端 | 恢复hosts/网卡DNS为可信值，清除恶意软件 | EDR管控、禁止非授权改DNS、员工培训 |
| H-2 路由器 | 复位网关、改强口令、升级固件 | 禁用远程管理、定期审计网关DNS、固件订阅更新 |
| H-3/H-6 递归/链路 | 切换至可信公共DNS、RPZ阻断恶意应答 | 启用DNSSEC验证、部署加密DNS、运营商协同 |
| H-4 权威/注册 | 注册商回滚NS/A、启用Registry Lock | 双因素认证、变更审计、DNSSEC签名 + 密钥轮转 |
| H-5 缓存投毒 | 刷新/重启受影响解析器缓存 | 解析器打补丁、开DNSSEC验证、源端口随机化核查 |
对H-4的"注册锁"建议：高价值域名应启用注册锁（Registry Lock）——任何NS/Registrant变更都需带外人工确认，极大提高攻击者"盗账户即改NS"的门槛。这是针对Sea Turtle/DNSpionage类手法最直接、成本最低的防线之一。
05 · 应急响应剧本
本节参考来源（第6页）
NIST SP 800-61《Computer Security Incident Handling Guide》（事件响应通用实践）：csrc.nist.gov SP 800-61
国家互联网应急中心 CNCERT/CC（事件报告与协调）：cert.org.cn
CNNIC 域名投诉举报处理平台（.cn域名）：tsi.cnnic.cn
《关键信息基础设施安全保护条例》（2021年施行）；网络安全等级保护 GB/T 22239-2019：cac.gov.cn
《互联网域名管理办法》（工业和信息化部令第43号，2017-11-01施行；域名实名、解析安全与注册服务机构义务）：miit.gov.cn（规章全文）