Apa Itu DNS Poisoning? Ciri, Penyebab & Cara Mengatasinya

DNS poisoning adalah kondisi ketika resolver menyimpan atau memberikan jawaban DNS palsu sehingga nama domain diarahkan ke tujuan yang salah. Istilah ini sering dipakai secara longgar untuk semua kejanggalan DNS, termasuk DNS hijacking, kesalahan konfigurasi, hingga filtering ISP. Padahal, penanganannya berbeda.

Bagi pengguna, akibatnya bisa berupa website salah alamat atau halaman palsu. Bagi pemilik bisnis, dampaknya lebih luas: pelanggan gagal masuk, email terganggu, dan kepercayaan merek menurun. Artikel ini membantu Anda memahami mekanismenya tanpa langsung menyimpulkan bahwa setiap perbedaan hasil DNS adalah serangan.

Bagaimana DNS Poisoning Bekerja?

Ketika resolver tidak memiliki jawaban dalam cache, ia menanyakan record ke server lain dalam rantai DNS. Pada serangan cache poisoning, penyerang berusaha membuat resolver menerima jawaban palsu dan menyimpannya sebagai jawaban yang sah. Selama cache tersebut dipakai, pengguna dapat menerima IP tujuan yang dikendalikan penyerang.

Serangan ini berbeda dari perubahan record resmi oleh pemilik domain. Pada poisoning, data pada authoritative DNS mungkin tetap benar, tetapi resolver tertentu menyajikan data yang salah. Karena cache bersifat lokal pada resolver, sebagian pengguna dapat terdampak sementara pengguna lain tetap normal.

DNS Poisoning vs DNS Hijacking vs Filtering

• DNS poisoning: jawaban palsu masuk ke cache resolver melalui manipulasi proses resolusi.
• DNS hijacking: kendali atas konfigurasi, akun registrar, router, atau server DNS diambil alih sehingga jawaban diubah.
• Filtering DNS: resolver sengaja memberikan jawaban tertentu berdasarkan kebijakan, misalnya halaman peringatan.
• Kesalahan konfigurasi: pemilik salah mengisi A, AAAA, CNAME, nameserver, atau DNSSEC.

Jika tujuan Anda memahami blokir yang tetap terjadi setelah ganti resolver, pelajari juga SNI filtering. Mekanisme tersebut tidak sama dengan cache poisoning.

Ciri yang Perlu Diperiksa

Gejala umum meliputi domain membuka IP yang tidak dikenal, sertifikat HTTPS tidak cocok, halaman berubah menjadi login palsu, atau hasil berbeda tajam antar-resolver. Namun CDN, load balancing, GeoDNS, dan propagasi juga dapat menghasilkan IP berbeda secara sah.

Karena itu, jangan hanya membandingkan satu alamat IP. Periksa nama domain, jenis record, TTL, nameserver, sertifikat, dan apakah perbedaan terjadi pada semua pengguna atau hanya satu jaringan. Untuk domain yang baru dipindahkan, baca panduan cek propagasi DNS sebelum menuduh adanya serangan.

Cara Melakukan Pemeriksaan Awal

1. Bandingkan jawaban dari resolver jaringan Anda dengan resolver publik yang tepercaya.
2. Periksa record langsung pada authoritative nameserver bila Anda memahami penggunaan dig atau alat DNS lookup.
3. Login ke registrar dan DNS provider untuk memastikan tidak ada perubahan yang tidak Anda kenali.
4. Periksa riwayat login, pengguna API, dan token DNS.
5. Periksa A serta AAAA record; IPv6 yang terlupakan sering menimbulkan gejala “sebagian pengguna salah server”.

Jangan mematikan validasi sertifikat atau melanjutkan login ke halaman yang mencurigakan hanya untuk menguji. Gunakan perangkat dan akun uji, serta dokumentasikan hasil lookup dan waktu kejadian.

Langkah untuk Pemilik Website

Amankan akun registrar dan DNS dengan kata sandi unik serta autentikasi dua faktor. Cabut token API yang tidak digunakan, batasi hak akses tim, dan aktifkan registrar lock bila tersedia. Jika ada perubahan berbahaya, pulihkan record dari dokumentasi, lalu tinjau seluruh zone—bukan hanya record yang terlihat di homepage.

Pertimbangkan DNSSEC jika rantai penerapannya dikelola dengan benar. DNSSEC membantu validasi integritas jawaban untuk zone yang ditandatangani, tetapi salah konfigurasi justru dapat membuat domain gagal resolve. Ia bukan pengganti keamanan akun dan bukan solusi untuk semua filtering.

Langkah untuk Pengguna dan Tim IT

Ganti resolver untuk perbandingan, restart koneksi, dan lakukan flush DNS setelah sumber masalah diperbaiki. Periksa pengaturan DNS router, malware pada perangkat, VPN, serta profil konfigurasi yang tidak dikenal. Jika hanya satu jaringan kantor terdampak, libatkan administrator jaringan.

DNS over HTTPS dapat melindungi jalur antara klien dan resolver dari modifikasi tertentu, tetapi tidak menjamin resolver selalu memberi jawaban benar dan tidak memperbaiki authoritative server yang diretas.

Hubungannya dengan Pemblokiran Website Bisnis

Pemilik website sering menyebut semua pengalihan ke Internet Positif sebagai DNS poisoning. Dalam percakapan sehari-hari istilah itu mungkin dipahami, tetapi diagnosis teknis harus tetap dipisahkan. Filtering kebijakan, serangan cache, dan peretasan akun registrar memiliki bukti serta jalur pemulihan berbeda.

Jika domain legal terkena Trust Positif, ikuti prosedur normalisasi. Jika akun DNS berubah tanpa izin, prioritaskan respons insiden keamanan. Jangan mengganti domain hanya karena panik sebelum bukti dikumpulkan.

Contoh Skenario untuk Memahami Perbedaannya

Jika record di akun DNS berubah tanpa izin dan semua resolver secara bertahap mengikuti perubahan tersebut, Anda mungkin menghadapi pengambilalihan akun, bukan poisoning cache. Jika data authoritative tetap benar tetapi satu resolver menyimpan IP palsu, poisoning atau kompromi resolver lebih layak dicurigai. Jika resolver ISP sengaja mengembalikan halaman Internet Positif berdasarkan kebijakan, kasusnya berada di jalur filtering.

Pemisahan ini menentukan siapa yang perlu dihubungi. Masalah akun ditangani registrar atau DNS provider, masalah resolver ditangani pengelola resolver, sedangkan blokir kebijakan memerlukan proses normalisasi. Satu tindakan tidak menyelesaikan ketiganya.

Bukti yang Perlu Disimpan Saat Insiden

• Output lookup lengkap dengan resolver dan authoritative server.
• TTL, timestamp, zona waktu, serta lokasi jaringan.
• Screenshot sertifikat atau halaman yang tidak sesuai.
• Riwayat perubahan DNS dan aktivitas login.
• Daftar pengguna atau ISP yang terdampak.

Bukti ini membantu provider mereproduksi masalah setelah cache berubah. Jangan hanya menyimpan screenshot halaman error karena data DNS mungkin sudah berbeda ketika teknisi memeriksa.

Pencegahan untuk Tim yang Mengelola Banyak Domain

Gunakan inventaris domain yang mencatat registrar, DNS provider, tanggal kedaluwarsa, dan penanggung jawab. Terapkan least privilege pada akun serta review perubahan untuk domain kritis. Notifikasi perubahan nameserver dan record penting membantu tim bereaksi sebelum pelanggan melapor.

Setelah insiden, bersihkan cache hanya pada sistem yang Anda kelola dan sesuai prosedur. Jangan mencoba membanjiri resolver dengan permintaan atau memakai teknik ofensif. Fokus pada pemulihan konfigurasi sah, koordinasi provider, dan verifikasi dari jaringan pelanggan.

Kapan Harus Meminta Bantuan Profesional?

Libatkan administrator DNS atau tim keamanan jika akun registrar berubah, sertifikat menunjukkan tujuan asing, banyak pengguna menerima konten palsu, atau Anda tidak dapat memastikan authoritative record. Jangan menunggu semua pelanggan terdampak hanya karena satu lookup masih terlihat normal.

Sampaikan bukti secara terstruktur dan batasi siapa yang dapat mengubah konfigurasi selama investigasi. Terlalu banyak orang mengganti record pada saat bersamaan dapat menghapus jejak serta mempersulit pemulihan. Setelah kendali kembali, lakukan review akses dan dokumentasikan pelajaran insiden.

Untuk domain yang menangani login atau pembayaran, prioritaskan perlindungan pengguna. Beri peringatan melalui kanal resmi jika ada risiko phishing, tanpa mengarahkan mereka kembali ke halaman yang belum dinyatakan aman.

Kesimpulannya, DNS poisoning bukan diagnosis yang boleh ditebak dari satu gejala. Bandingkan resolver, periksa authoritative DNS, amankan akun, lalu bersihkan cache setelah akar masalah selesai. Urutan tersebut mencegah Anda memperbaiki perangkat berulang kali sementara sumber masalah tetap aktif.

Pertanyaan yang Sering Diajukan (FAQ)