[發明專利]一種防范DNS緩存攻擊的裝置和方法

有效

• 申請號: 201310209362.7
• 申請日: 2013-05-30
• 公開（公告）號: CN104219200A
• 公開（公告）日: 2014-12-17
• 發明（設計）人: 田佳星
• 申請（專利權）人: 杭州迪普科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 林祥

1.一種防范DNS緩存攻擊的裝置，應用在網絡安全設備上，該裝置包括：

域名判斷模塊，用于從接收到的DNS響應報文中獲取其攜帶的被解析域名，并判斷所述被解析域名是否在預設的域名監控列表中，如果是，則通知范圍檢測模塊，如果否，則通知過濾防護模塊；

范圍檢測模塊，用于判斷所述DNS響應報文攜帶的與該被解析域名對應的解析IP地址是否全部在白名單中，如果是，則允許該DNS響應報文通過；

過濾防護模塊，用于判斷所述DNS響應報文攜帶的與該被解析域名對應的解析IP地址是否有屬于黑名單中的異常IP地址，如果否，則允許該DNS響應報文通過。

2.根據權利要求1所述的裝置，其特征在于，

范圍檢測模塊進一步用于在判斷所述DNS響應報文攜帶的解析IP地址不完全在白名單中時，通知過濾防護模塊處理并上報日志給網管。

3.根據權利要求1所述的裝置，其特征在于，所述裝置還包括：

名單維護模塊，用于根據網管的指令更新所述白名單和黑名單。

4.根據權利要求1所述的裝置，其特征在于，過濾防護模塊進一步用于當所述DNS響應報文攜帶的解析IP地址有屬于黑名單中的異常IP地址時，刪除該DNS響應報文中的異常的解析IP地址，如果刪除后所述DNS響應報文中攜帶的解析IP地址不為空，則允許該DNS響應報文通過。

5.一種防范DNS緩存攻擊的方法，應用在網絡安全設備上，該方法包括：

步驟A、從接收到的DNS響應報文中獲取其攜帶的被解析域名，并判斷所述被解析域名是否在預設的域名監控列表中，如果是，則轉步驟B，如果否，則轉步驟C；

步驟B、判斷所述DNS響應報文攜帶的與該被解析域名對應的解析IP地址是否全部在白名單中，如果是，則允許該DNS響應報文通過；

步驟C、判斷所述DNS響應報文攜帶的與該被解析域名對應的解析IP地址是否有屬于黑名單中的異常IP地址，如果否，則允許該DNS響應報文通過。

6.根據權利要求5所述的方法，其特征在于，步驟B進一步包括：在判斷所述DNS響應報文攜帶的解析IP地址不完全在白名單中時，轉步驟C并上報日志給網管。

7.根據權利要求5所述的方法，其特征在于，該方法進一步包括：

步驟D、根據網管的指令更新所述白名單和黑名單。

8.根據權利要求5所述的方法，其特征在于，步驟C進一步包括：當所述DNS響應報文攜帶的解析IP地址有屬于黑名單中的異常IP地址時，刪除該DNS響應報文中的異常的解析IP地址，如果刪除后所述DNS響應報文中攜帶的解析IP地址不為空，則允許該DNS響應報文通過。