[發明專利]一種保護DNS服務器的方法及裝置有效

申請號：	201210418881.X	申請日：	2012-10-26
公開（公告）號：	CN102882892A	公開（公告）日：	2013-01-16
發明（設計）人：	張國棟	申請（專利權）人：	杭州迪普科技有限公司
主分類號：	H04L29/06	分類號：	H04L29/06
代理公司：	北京博思佳知識產權代理有限公司 11415	代理人：	林祥
地址：	310051 浙江省杭***	國省代碼：	浙江;33
權利要求書：	查看更多	說明書：	查看更多
摘要：
搜索關鍵詞：	一種保護 dns 服務器方法裝置
鉆瓜網技術展會專利詞庫專利權人專利榜在售專利公布日期熱門專利

【說明書】：

技術領域

本發明涉及網絡安全技術領域，尤其涉及一種保護DNS服務器的方法及裝置。

背景技術

域名系統（Domain?Name?System，DNS）作為互聯網的基礎網絡設施和用戶訪問網絡的門戶環節，在互聯網服務中占據著非常重要的地位，系統的安全穩定、優質高效運營對于保證用戶服務質量、提升用戶感知的意義重大。DNS系統中通常包括緩存服務器、遞歸服務器和授權服務器，具體描述如下：

緩存服務器：是指負責接收用戶端（解析器）發送的請求，然后通過向遞歸服務器發出查詢請求獲得用戶需要的查詢結果，最后返回給用戶端的解析器。緩存服務器通常不會維護或者管理任何域的資源記錄數據，它只負責接收用戶（解析器）的查詢，并且通過查找緩存或者向遞歸服務器發出查詢從而獲得查詢結果。

遞歸服務器：是指負責接收緩存服務器發送的請求，然后通過向各級授權服務器發出查詢請求獲得緩存服務器需要的查詢結果，最后返回給緩存服務器的解析器。遞歸服務器通常不會維護或者管理任何域的資源記錄數據。它只負責收緩存服務器的查詢，并且通過查找緩存或者向包括根在內的授權服務器發出查詢從而獲得查詢結果。

授權服務器：是指對于某個或者多個區具有授權的服務器，授權服務器保存著其所擁有授權區域的原始域名資源記錄信息。授權服務器通常不提供遞歸解析服務，它只負責維護和保存它所擁有授權的區的資源記錄信息，并且接受遞歸服務器的查詢請求。

由于DNS的UDP特性和請求字段比較簡單，攻擊非常難以得到甄別，并和正常流量進行區分。同時，由于DNS的重要性，很多黑客會選擇在遞歸服務器節點的緩存或者遞歸查詢上下手，往往容易得手。甚至由于某些特殊的事件，也很容易對DNS節點造成事實上的攻擊，比如2009年的“暴風影音”事件。

正是由于DNS功能的重要性和協議的脆弱性，DNS?flood（泛洪）成為了最簡單有效但是又十分難以防護的攻擊手段。由于源IP的偽造十分簡單，攻擊報文和正常報文又難以區分，為了避免DNS服務器被攻癱，往往只能對流量進行限制，但是又造成了正常流量的丟棄，實際形成了攻擊。具體而言，對流量進行限制的方法通常有如下幾種：

源IP限速：針對攻擊的源IP進行限速。

源IP組限速：針對攻擊的源IP組進行限速，可以是掩碼網段，也可以是離散的IP組合。

域名限速：針對被攻擊的域名限速。

域名組限速：針對被攻擊的域名組進行限速，可以是某級域名的子域名的組合，也可以是離散的域名的組合，還可以是泛域名。

二級域名限速：主要是針對泛域名攻擊無法校驗子域名的真實性，所以只能針對二級域名進行限速。

由于無法檢驗報文的真實性，所以不管針對IP還是域名進行限速都會對正常的請求產生影響。而且源IP是非常容易偽造的，那么針對源IP或者源IP組限速通常不容易長時間生效。泛域名的攻擊也是如此，偽造的域名使得域名和域名組限速不容易長時間生效。

發明內容

有鑒于此，本發明的目的是提供保護DNS服務器的方法及裝置，以提高DNS服務器的服務質量。

為實現上述目的，本發明提供技術方案如下：

一種保護DNS服務器的方法，應用于防護設備上，所述防護設備設置在DNS服務器之前，所述防護設備還與DNS備份中心連接，所述方法包括：

對DNS流量進行統計和分析，當確定DNS流量發生異常時，將DNS流量中的部分DNS請求引流到DNS備份中心，由DNS備份中心獲取該部分DNS請求對應的查詢結果；

接收DNS備份中心發送的攜帶有查詢結果的DNS響應，并將所述查詢結果發送到相應的用戶端。