就安全性挑戰(zhàn)而言，云計(jì)算中DNS的解決方案是不完整的，它主要依賴于人員、流程和技術(shù)的組合。由于大部分的企業(yè)通過(guò)把應(yīng)用程序遷移至云計(jì)算而實(shí)現(xiàn)了對(duì)上述三個(gè)方面的全方位的外包，云計(jì)算遭受到了全方位的挑戰(zhàn)。所有的關(guān)鍵技術(shù)都在云計(jì)算供應(yīng)商那里，而云計(jì)算的用戶們完全依賴于云計(jì)算供應(yīng)商以確保他們的信息和基礎(chǔ)設(shè)施的安全性。所以，云計(jì)算客戶還必須考慮物理控制方面的缺失，并向供應(yīng)商提供DNS管理與處理相關(guān)、非常具體的指導(dǎo)。

本文是研究云計(jì)算中DNS以及DNS攻擊系列報(bào)導(dǎo)的下篇，我們將討論一下相關(guān)的應(yīng)對(duì)措施，并為云計(jì)算客戶提供相關(guān)指導(dǎo)，以便于他們?cè)谝笤朴?jì)算供應(yīng)商確保安全DNS架構(gòu)時(shí)能夠做到心中有底。

堅(jiān)持DNS安全擴(kuò)展（DNSSEC）簽署區(qū)域是重要的第一步，這是因?yàn)镈NSSEC為你的區(qū)域文件提供了數(shù)據(jù)完整性，而經(jīng)過(guò)DNSSEC驗(yàn)證的客戶可確保已簽署DNSSEC區(qū)域。雖然信任區(qū)域簽署者是另外一個(gè)話題，但這仍然是一個(gè)良好的開端。

但是，DNSSEC僅僅是在云計(jì)算中創(chuàng)建一個(gè)安全DNS架構(gòu)的一個(gè)組成部分。較之具有相同重要性的一個(gè)步驟是運(yùn)行DNSSEC，此舉可確保DNSSEC密鑰被妥善管理，同時(shí)服務(wù)器也被安全措施所正確保護(hù)。運(yùn)行DNSSEC只能確保數(shù)據(jù)的完整性；它并不能保證正確的配置以及防止區(qū)域運(yùn)行人員插入虛假記錄（因?yàn)橹灰麄儞碛忻荑�，他們就能夠簽署記錄）。它也無(wú)法防止諸如緩沖區(qū)溢出、競(jìng)態(tài)條件以及DoS攻擊這樣常見(jiàn)的攻擊。此外，管理DNSSEC區(qū)域需要區(qū)域運(yùn)行人員為之做出重大的努力。

在云計(jì)算中應(yīng)用NDSSEC所需面臨的一個(gè)重要隱患在于，事實(shí)上眾多安全專家并不熟悉DNSSEC，同時(shí)對(duì)于確保成功實(shí)施服務(wù)功能缺乏必要的認(rèn)識(shí)。去年，Uncompiled.com發(fā)表了一個(gè)研究報(bào)告，它指出在世界上最大型企業(yè)中負(fù)責(zé)互聯(lián)網(wǎng)安全的IT人員中有半數(shù)以上要么沒(méi)有聽(tīng)說(shuō)過(guò)DNSSEC，要么對(duì)其熟悉程度極為有限。對(duì)于云計(jì)算服務(wù)供應(yīng)商（CSP）廣泛采用DNSSEC的需求來(lái)說(shuō)，這一現(xiàn)狀并不是一個(gè)好消息。不過(guò)，云計(jì)算的客戶們還是應(yīng)當(dāng)要求實(shí)現(xiàn)DNSSEC區(qū)域簽名。

除了DNSSEC區(qū)域簽名以外，云計(jì)算服務(wù)供應(yīng)商們還必須在客戶用于名稱解決方案的遞歸解析程序中打開DNSSEC驗(yàn)證。期待單個(gè)應(yīng)用程序執(zhí)行DNSSEC檢查幾乎是不可能的。需要在云計(jì)算環(huán)境中執(zhí)行DNSSEC 和 DNSSEC檢查，尤其是那些提供IaaS解決方案的供應(yīng)商。在很多情況下，通過(guò)使用anycast可在一定程度上緩解DoS攻擊帶來(lái)的影響，而大多數(shù)的云計(jì)算服務(wù)供應(yīng)商們所提供的DNS管理中已經(jīng)使用了anycast.但是，客戶應(yīng)當(dāng)自行驗(yàn)證確認(rèn)這一點(diǎn)。Anycast流量均衡與DNSSEC很類似，它是DNS整體安全策略中的一個(gè)附加的組件。

云計(jì)算中DNS問(wèn)題的一個(gè)可能的解決方案是在IaaS云計(jì)算中跟蹤和監(jiān)控DNS區(qū)域。這個(gè)解決方案需要為每個(gè)實(shí)例設(shè)置一對(duì)服務(wù)器，并在線以隱匿模式配置監(jiān)控軟件。當(dāng)對(duì)區(qū)域進(jìn)行更新升級(jí)時(shí)，監(jiān)控軟件應(yīng)檢查區(qū)域信息以便于確定變更是否合法。例如，一個(gè)區(qū)域記錄顯示有IP地址變動(dòng)，就需要向運(yùn)行人員提出警告。通過(guò)制定合適的監(jiān)控解決方案，這些區(qū)域就有可能成為IaaS云計(jì)算中具有較高可靠性的服務(wù)器。

成功的云計(jì)算基礎(chǔ)設(shè)施是需要企業(yè)和云計(jì)算服務(wù)供應(yīng)商的IT團(tuán)隊(duì)與法務(wù)團(tuán)隊(duì)付出大量時(shí)間與精力的努力的�？紤]云計(jì)算遷移的一個(gè)方法就是將其認(rèn)為是購(gòu)買一個(gè)長(zhǎng)期的合作關(guān)系。與供應(yīng)商的信任問(wèn)題也需要客戶和CSP之間維持一種開放的關(guān)系。目前，管理安全行業(yè)的最佳做法并不是確保也在云計(jì)算中執(zhí)行相同的措施。這意味著，在大多數(shù)情況下客戶和云計(jì)算服務(wù)供應(yīng)商必須一起為解決新問(wèn)題、領(lǐng)悟新思想和接受新概念而共同努力。由于這個(gè)原因，雙方的關(guān)系必須建立在相互信任、相互理解的基礎(chǔ)之上，以確保在這個(gè)嶄新的前沿領(lǐng)域中共同獲取知識(shí)、分享知識(shí)。