[發明專利]一種防范DNS緩存攻擊的裝置和方法

有效

• 申請號: 201310209362.7
• 申請日: 2013-05-30
• 公開（公告）號: CN104219200A
• 公開（公告）日: 2014-12-17
• 發明（設計）人: 田佳星
• 申請（專利權）人: 杭州迪普科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 林祥

技術領域

本發明涉及網絡安全技術，尤其涉及一種防范DNS緩存攻擊的裝置和方法。

背景技術

DNS是域名系統（Domain?Name?System）的縮寫，它是由解析器和域名服務器組成的。域名服務器（DNS?Server）是指保存有該網絡中所有主機的域名和對應IP地址，并具有將域名解析為IP地址功能的服務器。請參考圖1，DNS解析域名的流程大體如下：首先由客戶端發起域名解析請求，本地DNS服務器收到該請求后，會在本地及緩存中查找，如果沒有找到，則會向上一級DNS服務器發起解析請求，上一級DNS服務器會將解析結果通過回應報文返回給本地DNS服務器，此時，本地DNS服務器將所述解析結果存入緩存，以便后續客戶端再次請求解析該域名的時候，可以直接返回解析結果，同時會將解析結果返回給本次請求解析該域名的客戶端。

近年來DNS攻擊事件屢屢發生，目前針對DNS緩存進行攻擊的行為也非常常見。DNS緩存攻擊主要有兩類：

第一類，DNS服務器會定期更新自己的緩存。緩存更新時，需要向上級服務器發送請求，而攻擊者則向DNS服務器發送精心構造的回應報文。比如說，如果DNS服務器更新www.google.com域名時，攻擊者向DNS服務器發送回應報文，就有可能攻擊成功，將www.google.com域名對應的IP地址改成攻擊者指定的IP地址。

第二類，攻擊者刻意利用一個不存在的某個域名的二級域名來發送請求，這樣DNS服務器由于無法解析就會向上級DNS服務器發送域名解析請求，這個時候，攻擊者向DNS發送回應報文，就有可能攻擊成功。比如說，攻擊者想攻擊www.google.com，它就可以發送aa.google.com（僅僅是示例，假設該域名并不存在）給DNS服務器，這個時候，攻擊者發送回應報文，此報文回復aa.google.com域名不存在，但是在其中附加資源里將www.google.com改成攻擊者指定的IP地址，這樣一來DNS緩存攻擊成功。

發明內容

有鑒于此，本發明提供一種防范DNS緩存攻擊的裝置和方法，以解決現有技術存在的不足。

具體地，所述裝置應用在網絡安全設備上，該裝置包括：

域名判斷模塊，用于從接收到的DNS響應報文中獲取其攜帶的被解析域名，并判斷所述被解析域名是否在預設的域名監控列表中，如果是，則通知范圍檢測模塊，如果否，則通知過濾防護模塊；

范圍檢測模塊，用于判斷所述DNS響應報文攜帶的與該被解析域名對應的解析IP地址是否全部在白名單中，如果是，則允許該DNS響應報文通過；

過濾防護模塊，用于判斷所述DNS響應報文攜帶的與該被解析域名對應的解析IP地址是否有屬于黑名單中的異常IP地址，如果否，則允許該DNS響應報文通過。

所述方法包括以下步驟：

步驟A、從接收到的DNS響應報文中獲取其攜帶的被解析域名，并判斷所述被解析域名是否在預設的域名監控列表中，如果是，則轉步驟B，如果否，則轉步驟C；

步驟B、判斷所述DNS響應報文攜帶的與該被解析域名對應的解析IP地址是否全部在白名單中，如果是，則允許該DNS響應報文通過；

步驟C、判斷所述DNS響應報文攜帶的與該被解析域名對應的解析IP地址是否有屬于黑名單中的異常IP地址，如果否，則允許該DNS響應報文通過。

由以上技術方案可見，本發明通過設置黑、白名單，進而實現對解析IP地址的監控，并能夠過濾異常IP地址，有效地防范了攻擊者對DNS緩存的攻擊。

附圖說明

圖1是典型的DNS請求處理流程圖；

圖2是本發明一種實施方式的方法流程圖；

圖3是本發明一種實施方式的裝置邏輯圖。

具體實施方式