01 · 六步审计流程
递归解析器安全审计六步流程
单轮专项审计的完整闭环；常态化运营时将步骤2—4转为持续控制
说明：流程为本课题自定义方法，兼容等保测评与ISO 27001内审节奏。
1.1 步骤要点
- 资产盘点：输出"实现—版本—部署位置—责任团队—上游依赖"五要素台账，影子资产（云安全组误放行、测试实例、路由器固件）单独标注；
- 基线核查：白盒读取配置，与第3—6页基线逐条比对，产出"符合/不符合/不适用（附理由）"三态结论，拒绝"部分符合"的模糊表述；
- 技术测试：仅限书面授权范围，覆盖外部递归探测（第3页清单1）、熵源实测（第4页清单1）、加密上行断链行为（第6页清单2）等；
- 持续监测：至少覆盖QTYPE分布、NXDOMAIN占比、RRL触发、bogus计数、上游RTT五类基线；
- 报告整改：发现按"高危/中危/低危/观察"分级，高危30天内整改或书面风险接受；
- 复测闭环：整改证据复测后更新基线版本，审计发现进入知识库供下一轮参考。
02 · 自动化工具链与授权边界
| 工具 | 用途 | 授权边界提示 |
|---|---|---|
| dig / delv / kdig | 查询语法与DNSSEC验证（BIND与Knot工具链） | 对自有与公开递归的常规查询无需授权；批量扫描需授权 |
| nmap dns-recursion NSE | 开放递归黑盒判定 | 仅扫描自有资产 |
| named-checkconf / unbound-checkconf | 配置语法与一致性预检 | 本机运维操作 |
| DNSViz / Zonemaster | 委托链与DNSSEC链路可视化诊断（对被测域，含自有域） | 公开服务，对任何已注册域的查询属正常使用 |
| dnsrecon / dnsenum | 区域枚举与记录收集 | 仅对自有区域授权使用 |
| 流量分析（pcap/NetFlow） | 基线建立、放大与水刑检测、隧道初筛 | 本网络出口监测 |
| 被动DNS数据源 | 威胁情报关联（解析历史、新域名初见） | 采购/开源数据的许可协议 |
| 混沌演练（断上游/停节点） | 降级剧本与serve-expired有效性 | 变更窗口内、有回退预案 |
03 · 可执行核查清单（汇总版）
将前五页清单压缩为一张"每季度可跑"的汇总表；详细判据见各页：
| 域 | 季度必查项 | 详细出处 |
|---|---|---|
| D1 | 外部递归零开放；RRL在跑有日志；NXDOMAIN限流；ANY放大系数无突变；流量基线在跑 | 第3页§06 |
| D2 | 端口熵源抽测；DNSSEC验证+bogus计数；QNAME最小化；附加段收紧 | 第4页§06 |
| D3 | CVE台账月度比对；KEV通道演练；基线M项全过；影子资产无新增 | 第5页§06 |
| D4 | 上游证书校验抽测；断链不回退明文；多上游演练 | 第6页§06 |
| D5 | 日志留存抽查；PIA在档；访问授权复核 | 第6页§06 |
| D6 | 变更留痕抽查；演练记录；高危整改闭环率100% | 本页§01 |
04 · KPI/KRI度量体系
| 指标 | 口径 | 说明 |
|---|---|---|
| 对外递归暴露数 | KRI | 外部探测命中的非授权递归入口数，目标恒为0 |
| RRL/NXDOMAIN限流触发量 | KRI | 突发上升即攻击前兆；长期为零需怀疑配置未生效 |
| bogus验证失败计数 | KRI | 单位时间DNSSEC验证失败量；突增可能是攻击或上游异常 |
| 缓存命中率 | KPI | 可用性指标；骤降伴随NXDOMAIN占比上升提示水刑攻击 |
| 上游RTT分位（P95/P99） | KPI | 解析质量与上游健康度 |
| 高危漏洞修复时效 | KPI | 对照第5页SLA基线（KEV≤7天/高危≤30天） |
| 审计发现闭环率 | KPI | 整改复测通过数/发现总数，目标100% |
| 解析可用性SLO | KPI | 按业务定级设定（如99.9%/99.99%），与serve-expired策略联动 |
05 · 攻防演练设计
- 场景A 上游集体失效：切断全部转发上游，验证迭代回退与serve-expired兜底；观测缓存命中率曲线与业务影响；
- 场景B 水刑模拟（授权内）：受控流量发生器产生随机子域查询，验证NXDOMAIN限流、缓存配额与权威侧联动告警；
- 场景C 投毒抵抗抽测：内部实验环境对测试域做应答一致性比对，验证熵源与验证链证据（不在生产网实施）；
- 场景D 加密绕行检测：模拟终端改用外部DoH，验证企业策略可识别、可引导至受信入口；
- 场景E 应急切换：演练多NS切换与TTL预降策略（对照第8页Dyn事件启示）。
每次演练输出三件套：时间线记录、发现的改进项、入知识库的剧本更新。
06 · 组织协同与监管通报
- 职责分离：DNS运维、审计、安全响应三角色分离，审计发现直接向安全负责人报告；
- 外部协同：滥用事件响应联系人公示（第3页清单10）；与上游ISP/云厂商的清洗SLA与黑洞路由流程年度演练；涉诈域名处置按《反电信网络诈骗法》要求留存完整证据链；
- 监管接口：CNCERT/CC、12321（垃圾与不良信息）、12377（违法信息）等通报渠道在应急预案中列明，本课题仅做渠道指引，具体义务以监管要求为准；
- 知识库沉淀：每轮审计的基线版本、发现模式、整改模板入知识库，与学院演练沙盘共享教学资产。
本节参考来源（第7页）
方法论与工具均为公开资料的工程化组织。
[1]
nmap NSE dns-recursion脚本文档：nmap.org
[2]
DNSViz（DNSSEC可视化诊断）：dnsviz.net；Zonemaster（委托一致性测试）：zonemaster.net
[3]
ISC dig/delv文档：bind9.readthedocs.io；kdig（Knot DNS）：knot-dns.cz
[4]
GB/T 22239-2019等保2.0审计控制项：openstd.samr.gov.cn
[5]
ISO/IEC 27001内审方法论（通用参照）；CISA KEV目录：cisa.gov