[發明專利]抵御DNS遞歸攻擊的方法和系統

有效

• 申請號: 201210118003.6
• 申請日: 2012-04-22
• 公開（公告）號: CN102624750A
• 公開（公告）日: 2012-08-01
• 發明（設計）人: 吳興利
• 申請（專利權）人: 吳興利
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種抵御DNS遞歸攻擊的方法，包括以下步驟：

1），用戶端向緩存服務器提出域名的查詢請求；

2），緩存服務器設置白名單，緩存服務器查詢緩存模塊存儲的資源記錄，判斷資源記錄內是否有同查詢請求相應的目標資源記錄，如果是，將該目標資源記錄寫入白名單，將該資源記錄反饋給用戶端；如果否，進入步驟3）；

3），緩存服務器向域名服務器發送遞歸查詢請求；

4），判斷遞歸查詢請求是否成功，如果是，將目標資源記錄寫入緩存模塊的資源記錄；如果否，進入步驟5）；

5),判斷遞歸查詢請求是否是遞歸攻擊，如果是，啟動抵御攻擊模式，如果否，工作完成。

2.根據權利要求1所述的方法，其特征在于：步驟4）中判斷遞歸查詢請求成功的條件是：緩存服務器必須收到了域名服務器的遞歸回復包，并且遞歸回復包中應答代碼字段的值必須為0。

3.根據權利要求2所述的方法，其特征在于：步驟5）中判斷是否為遞歸攻擊的方式為：

定義遞歸攻擊門限?，即遞歸查詢請求的遞歸回復包為非0的次數或所占比例；如果遞歸回復包為非0的次數或所占比例超過了遞歸攻擊門限，那么判定遞歸查詢請求是遞歸攻擊。

4.根據權利要求3所述的方法，其特征在于：抵御攻擊模式包括以下步驟：

6），緩存服務器設置遞歸過濾模塊，將該目標資源記錄讀入歸過濾模塊；

7），遞歸過濾模塊將目標資源記錄同白名單進行比對，如果目標資源記錄在白名單中，進入步驟8）；如果目標資源記錄不在白名單中，丟棄包含該目標資源記錄的數據包；

8），緩存服務器允許將該目標資源記錄寫入緩存模塊，并將該目標資源記錄反饋給用戶端。

5.一種抵御DNS遞歸攻擊的方法，包括以下步驟：

1），用戶端向緩存服務器提出域名的查詢請求；

2），緩存服務器設置白名單，緩存服務器查詢緩存模塊存儲的資源記錄，判斷資源記錄內是否有同查詢請求相應的目標資源記錄，如果是，將該目標資源記錄寫入白名單，將該資源記錄反饋給用戶端；如果否，進入步驟3）；

3），緩存服務器向域名服務器發送遞歸查詢請求；

4），判斷遞歸查詢請求是否成功，如果是，白名單生成模塊將日志中遞歸查詢請求成功的目標資源記錄通過日志的方式寫到白名單；如果否，進入步驟5）；

5),判斷遞歸查詢請求是否是遞歸攻擊，如果是，啟動抵御攻擊模式，如果否，工作完成。

6.根據權利要求5所述的方法，其特征在于：步驟4）中判斷遞歸查詢請求成功的條件是：緩存服務器必須收到了域名服務器的遞歸回復包，并且遞歸回復包中應答代碼字段的值必須為0。

7.根據權利要求6所述的方法，其特征在于：抵御攻擊模式包括以下步驟：

6），緩存服務器設置遞歸過濾模塊，將該目標資源記錄讀入遞歸過濾模塊；

7），遞歸過濾模塊將目標資源記錄同白名單進行比對，如果目標資源記錄在白名單中，進入步驟8）；如果目標資源記錄不在白名單中，丟棄包含該目標資源記錄的數據包；

8），緩存服務器允許將該目標資源記錄寫入緩存模塊，并將該目標資源記錄反饋給用戶端。

8.抵御DNS遞歸攻擊的系統，包括用戶端、緩存服務器和域名服務器，用戶端向緩存服務器提出域名的查詢請求，其特征在于，該緩存服務器包括同處理器連接的緩存模塊，緩存模塊存儲資源記錄；還包括同處理器連接的白名單生成模塊；

緩存服務器判斷資源記錄內是否有同查詢請求相應的目標資源記錄，如果是，將該目標資源記錄寫入白名單。

9.根據權利要求8所述的系統，其特征在于，緩存服務器判斷資源記錄內沒有同查詢請求相應的目標資源記錄，緩存服務器向域名服務器發送遞歸查詢請求；如果遞歸查詢請求不成功，緩存服務器啟動抵御攻擊模式；

緩存服務器還包括同處理器連接的遞歸過濾模塊，將遞歸查詢請求不成功的目標資源記錄讀入遞歸過濾模塊；

遞歸過濾模塊將目標資源記錄同白名單進行比對，如果目標資源記錄在白名單中，將該目標資源記錄寫入緩存模塊，如果目標資源記錄不在白名單中，結束工作。