Bảo mật DNS và DNSSEC cho website doanh nghiệp

DNS là bảng chỉ đường của website và email. Một thay đổi A, CNAME, MX hoặc nameserver có thể chuyển lưu lượng tới máy chủ giả, bỏ qua CDN hoặc chiếm luồng email dù hosting gốc vẫn sạch.

Lập danh mục record và mục đích

Ghi A/AAAA, CNAME, MX, TXT, CAA, NS và record xác minh dịch vụ. Record không rõ owner hoặc dịch vụ đã ngừng nên được xác minh rồi xóa để giảm nguy cơ takeover và nhầm lẫn.

Hiểu đúng vai trò DNSSEC

DNSSEC dùng chữ ký để giúp resolver xác minh dữ liệu đến từ zone có thẩm quyền và không bị sửa trên đường truyền. Nó không mã hóa query và không thay thế HTTPS, MFA hoặc kiểm soát quyền đổi zone.

Bật DNSSEC theo đúng thứ tự

Phối hợp giữa DNS provider và registrar để DS record khớp. Khi chuyển nameserver hoặc provider, lập kế hoạch thay khóa; cấu hình sai có thể khiến domain không phân giải. Luôn kiểm tra trạng thái sau thay đổi.

Giới hạn quyền sửa zone

Tách quyền đọc, chỉnh record và quản trị tài khoản nếu hệ thống hỗ trợ. API token chỉ cấp zone và thao tác cần thiết, đặt thời hạn hoặc xoay định kỳ; không dùng global key trong script.

Bảo vệ origin khỏi bị lộ

Nếu dùng CDN proxy, giới hạn origin chỉ nhận traffic từ CDN khi khả thi, kiểm tra record cũ và subdomain làm lộ IP. Tuy nhiên không chặn tùy tiện các kênh quản trị và health check cần thiết.

Theo dõi thay đổi và phân giải bên ngoài

Cảnh báo khi NS, A/AAAA, MX, CAA hoặc DS thay đổi. Kiểm tra từ nhiều resolver để phân biệt cache/propagation với thay đổi thật; lưu lịch sử zone ngoài tài khoản đang quản trị.

Playbook khi DNS bị sửa trái phép

Khóa tài khoản, thu hồi token, lưu bản ghi hiện tại và audit log, phục hồi zone đã xác nhận, kiểm tra email và chứng chỉ. Sau đó tìm nguồn chiếm quyền thay vì chỉ sửa record.

Vì sao DNS bị đổi thường bị hiểu nhầm thành website bị hack?

Người dùng gõ đúng địa chỉ nhưng thấy trang lạ, nên phản xạ đầu tiên là kiểm tra WordPress. Đội kỹ thuật quét file, thay plugin và đổi mật khẩu quản trị mà không tìm thấy gì. Trong khi đó, một record A hoặc CNAME đã đưa khách sang máy chủ khác; WordPress gốc hoàn toàn không nhận được request.

Phân biệt này rất quan trọng vì cách ứng cứu khác nhau. Nếu response từ một IP không thuộc hạ tầng, hãy kiểm tra chuỗi phân giải, nameserver, DNS history và CDN trước khi sửa code. Sửa nhầm production có thể làm mất thêm bằng chứng mà không đưa người dùng trở lại.

Một thay đổi MX nhỏ có thể mở ra sự cố lớn

DNS không chỉ điều hướng website. MX và các TXT liên quan quyết định luồng email, SPF, DKIM, DMARC và xác minh dịch vụ. Kẻ tấn công đổi MX có thể nhận thư khôi phục; thêm TXT có thể xác minh quyền với nền tảng khác. Vì vậy, cảnh báo chỉ theo dõi A record là chưa đủ.

DNSSEC nên được triển khai như một thay đổi có kế hoạch

Bật DNSSEC không phải thao tác “bật càng nhanh càng tốt”. Cần biết registrar giữ DS, DNS provider giữ khóa nào, ai chịu trách nhiệm khi chuyển nameserver và cách kiểm tra bằng resolver xác thực. Trước khi chuyển nhà cung cấp, phải xử lý chuỗi khóa đúng thứ tự; DS cũ còn tồn tại trong khi zone mới không ký tương ứng có thể khiến domain biến mất với một phần người dùng.

Cách WebAnToan rà một zone trước khi ký

• Xuất bản sao zone và gắn owner cho từng record quan trọng.
• Xóa record treo sau khi xác minh dịch vụ không còn dùng.
• Rà CAA, MX, SPF, DKIM, DMARC và subdomain làm lộ origin.
• Thu hẹp token tự động hóa và bật audit log.
• Đặt cảnh báo độc lập cho NS, DS, A/AAAA, CNAME và MX.

Mục tiêu không phải làm DNS trở nên phức tạp, mà biến nó thành một hệ thống có thể giải thích: record này phục vụ gì, ai được sửa, và khi nó đổi thì ai biết đầu tiên.

Đọc dấu hiệu từ phía người dùng

Nếu chỉ một nhà mạng hoặc khu vực thấy sai, có thể cache và propagation chưa đồng nhất; nếu mọi resolver cùng trả nameserver lạ, khả năng thay đổi ở lớp authoritative cao hơn. Nếu website đúng nhưng email mất, tập trung MX và record xác thực. Thu thập ảnh chụp là chưa đủ: cần thời gian, resolver, kết quả truy vấn và IP trả về.

Một nhóm vận hành tốt sẽ có sẵn lệnh kiểm tra và dịch vụ quan sát từ bên ngoài. Khi sự cố xảy ra, họ so sánh với bản zone đã phê duyệt thay vì cố nhớ record cũ. Chính sự chuẩn bị bình thường này giúp vài phút điều tra đầu tiên bớt hỗn loạn.