[發明專利]一種防御DNS攻擊的方法、裝置及系統

有效

• 申請號: 201611183849.2
• 申請日: 2016-12-20
• 公開（公告）號: CN108206814B
• 公開（公告）日: 2021-03-16
• 發明（設計）人: 陳方舟;姜鳳波
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 郝傳鑫;賈允

1.一種防御DNS攻擊的方法，其特征在于，包括：

接收請求源發送的DNS請求，獲取DNS請求的請求源IP地址；

根據所述IP地址的前三段數值或者后三段數值，確定所述IP地址的特征值；

在內存中查找得到與所述特征值對應的標識信息，所述內存中以數組形式存儲各數組元素，所述數組元素包括特征值、標識信息、請求記錄信息和解封時間，所述特征值、標識信息、請求記錄信息和解封時間一一對應；所述標識信息包括白名單標識、黑名單標識和探測標識；所述白名單標識表示不存在攻擊風險，所述黑名單標識表示存在攻擊風險，所述探測標識表示不確定是否存在攻擊風險；

若查找得到的與所述特征值對應的標識信息為黑名單標識，丟棄所述DNS請求的數據包；

若查找得到的與所述特征值對應的標識信息為白名單標識，接受所述DNS請求；

若查找得到的與所述特征值對應的標識信息為探測標識，按照所述IP地址的特征值在所述內存中查詢得到請求記錄信息和解封時間，所述請求記錄信息包括預定周期內的請求次數，所述解封時間是指在某個時間解除對特征值對應的IP地址的封禁；

判斷所述請求次數是否超過預設的請求閾值；

如果所述請求次數超過請求閾值，判定所述請求源進行DNS攻擊，并重置所述特征值對應的解封時間；

如果所述請求次數未超過請求閾值，判斷當前是否到達所述特征值對應的解封時間；若是，判定所述DNS請求為正常請求；若否，判定所述請求源進行DNS攻擊；

對DNS攻擊進行防御。

2.根據權利要求1所述的方法，其特征在于，所述接收請求源發送的DNS請求之后還包括：

分別判斷所述DNS請求的數據包數據格式是否符合預定協議，以及所述DNS請求的目的端口是否為預定端口；

若均為是，執行獲取請求源IP地址的步驟。

3.根據權利要求1所述的方法，其特征在于，所述根據所述IP地址的前三段數值或者后三段數值，確定所述I P地址的特征值，包括：

計算所述IP地址的前三段數值的哈希值，將所述哈希值作為IP地址的特征值，或者，

計算所述IP地址的后三段數值的哈希值，將所述哈希值作為IP地址的特征值。

4.根據權利要求1所述的方法，其特征在于，所述按照所述IP地址的特征值在所述內存中查詢得到請求記錄信息和解封時間之前，還包括：更新所述特征值對應的請求記錄信息；

所述更新所述特征值對應的請求記錄信息包括：

判斷所述內存中所述特征值對應的請求記錄信息是否為空；

若為空，將本次DNS請求的信息保存為請求記錄信息；

若非空，判斷所述請求記錄信息中記載的DNS請求的請求時間到本次DNS請求的請求時間的時長是否超過預定周期，

若是，更新所述請求記錄信息中DNS請求的請求時間，并將請求記錄信息中的請求次數歸零，

若否，更新所述請求記錄信息中DNS請求的請求時間，并將所述請求記錄信息中的請求次數加1。

5.根據權利要求1所述的方法，其特征在于，所述在內存中查找得到與所述特征值對應的標識信息之前，還包括：

獲取IP地址的特征值和標識信息；

判斷內存中所述特征值對應的標識信息是否為空；

若是，將獲取的標識信息保存為所述特征值對應的標識信息；

若否，將所述特征值對應的標識信息替換為所述獲取的標識信息。