“金融安全无小事，网络基础设施为基石”，会上，邢志杰表示，本次“灰犀牛”事件，再次为行业敲响警钟，防范化解新型风险，必须尽早列入考量。

早在风波之前的6月4日，ZDNS作为顶级域名管理机构和某顶级域名技术托管方，收到了一封由律所代表美国G公司发送的律师函邮件。邮件表明，G公司向海外当地法院提起诉讼，请求发起限制令并采取措施阻止“BadBox2.0”僵尸网络，并列举出一批涉嫌传播僵尸网络的域名，要求将相关域名予以变更注册机构并转移解析指向，阿里云受影响的核心域名恰好在列。据分析研判，aliyuncs.com应是在所有者不知情的情况下，被域名注册管理机构“停服”。

新型风险具体何在？邢志杰明确指出，首先，第三方风险传导可能威胁核心业务。僵尸网络或受感染设备使用云服务商的服务，涉事云服务商即被认定为恶意节点，凸显第三方风险可向上游传导风险，导致被动担责；

其次，域名管理权受制于国际治理体系。国外域名注册管理机构、注册商和解析服务商受境外司法管辖制约，他国法院可基于本国法律等单方面要求域名机构“无通知关停”，切断企业全球服务能力；

最后，企业自有技术防护手段未能有效覆盖风险。涉事云服务商虽然自有技术和服务能力强，并启用域名注册局安全锁等手段，但依然不能对抗海外法院限制令，反映纯靠传统技术方案无法应对国外司法干预。

邢志杰表示，随着我国一带一路发展和我国大量企业出海，我国金融机构面向全球用户提供服务，其服务内容逐渐深入，覆盖范围愈发广泛，同样也面临着此类“停服”风险。

看不见、摸不着、不易感知的网络基础设施，对于金融等关键行业来说，是否真能造成如此重大的风险？

邢志杰表示，DNS历经30余年发展，已从基础协议演变为包含200余项RFC标准、90种资源类型的复杂体系。DNS系统发展至今，其分布式的DNS体系，风险也存在于多个环节。要剖析DNS体系所面临的风险，需要从域名注册管理和域名解析服务两方面来看：

域名注册管理体系包括顶级域名分配机构（ICANN）、域名注册管理机构（注册局）、域名注册服务机构（注册商）；域名解析服务体系包括根、顶级域名、二级域名、运营商递归解析，以及终端。

域名注册管理机构可能出现的风险，主要原因是域名管理权缺失。阿里云“停服”事件即可反映出这一点。而域名注册服务机构存在的风险，例如系统升级或者操作上的失误导致域名的权威记录被篡改，致使依赖于域名的互联网在线业务因解析服务中断出现失联，且恢复时间较长，在金融行业屡见不鲜。

邢志杰强调，稳固的网络架构和核心服务是确保金融业务运行的“生命线”。既要保证业务的连续性、安全性和可持续性，又要支持数字业务的持续创新、灵活扩展，这种既要稳健又要活力的双重需求，对网络基础设施的设计、部署和运维都提出了极高的要求。

同时，在国家发展信创的战略背景下，金融信创加速落地，从一般业务系统逐层深入金融核心系统，金融网络基础设施建设也承担了新的使命，是信创应用创新的重中之重。

论坛上，围绕如何体系化打造韧性DNS，邢志杰从基础资源、DNS系统体系化升级、标准引领等三个方面，分享了自己的思考。

在基础资源层面，“关键域名资源必须自主可控，打造韧性域名注册管理能力，有效防范化解外部风险。”邢志杰表示，阿里云事件警醒业界，没有健康完备、自主可控的核心域名体系和关键域名资源，金融安全无异于沙上筑塔。必须以全球视野和长远眼光，重新审视DNS作为金融网络基础设施的战略价值，采取更全面、更扎实的技术与管理手段，切实守住风险底线。

邢志杰强调，关键核心业务需要减少对国外管辖的域名资源依赖，建议有条件的机构可以关注2026年4月开放的新通用顶级域名申请，基于自有顶级域名资源建立完全可控的韧性域名注册管理能力。

在技术架构层面，邢志杰指出，金融业数字化转型的纵深推进，要求DNS服务的低时延、高可用、高性能、强安全、高抗毁缺一不可，仅关注基础解析服务的传统思路已难以应对。面向信创融合发展，DNS系统不仅仅是完成简单替换，更要借此机会，实现体系化升级，构建下一代韧性DNS，护航金融科技发展。

“在互联网侧，我们不仅要构建高可靠、自主可控的解析系统，更要前瞻性地应对域名篡改、劫持等外部安全风险，确保即使遭遇攻击也能快速恢复，锻造韧性互联网DNS能力，保障在线业务的绝对连续“。邢志杰指出，在互联网（外网）侧，金融行业用户基本作为参与者的角色出现，可从五个方面出发建立完备的架构体系。

一是服务连续性建设。以本地为主+云端为辅的天地互备架构，打造DNS服务的高连续性，巩固根基；二是满足业务需求。在保障服务连续性的基础上，以智能解析实现多活调度、灾备切换。同时借鉴互联网行业，开始储备、应用一些新技术，实现业务体验优化、差异化服务；三是建立安全防护体系。满足连续性和业务需求的同时，要建立包括数据安全、服务安全、运行安全、供应链安全在内的安全防护体系；四是具备风险处置能力。能够第一时间发现风险并快速处置，将业务影响范围和影响程度控制在最低；五是把握新技术方向。要关注未来发展方向，在顶级域名申请之外，可采用互联网行业较多的HTTPDNS技术、DSO服务发现机制，通过这些技术强化DNS体系，也是未来演进或探索的方向。同时，可加强探索基于HTTP协议实现的域名解析技术、使用SVCB/HTTPS实现业务体验提升，以及有状态DNS（DSO）等，支撑更加复杂、多元的金融行业业务场景。

在内网侧，邢志杰强调，面对服务连续性要求提高、高并发快速增加、运维压力增大、系统性风险显现、智能解析相对脆弱、故障监控不到位等潜在挑战，在持续优化DNS运行体系的同时，必须强化DNS管理体系。

邢志杰指出，在内网里面，从业者不仅是DNS体系的参与者，更是体系的建设者。打造内网韧性DNS，需从运行体系和管理体系两个方面着手。在运行体系建设方面，要进行整体架构规划、服务连续性的设计、流量调度的设计、安全防护的设计等；在管理体系建设方面，完善满足业务需求的域名规范制度、提升面向业务的运维能力、健全应急预案、确保审计合规，打造韧性内网DNS能力，为域名化数据中心的稳定运行提供坚实支撑。

邢志杰指出，唯有将各项能力紧密协同、层层加固，才能帮助金融机构建立安全高效的运维体系，最终形成更具韧性的网络基础设施。