[發明專利]一種帶取證分析擴展的DNSSEC系統實現方法

在審

• 申請號: 202210558437.1
• 申請日: 2022-05-20
• 公開（公告）號: CN115065477A
• 公開（公告）日: 2022-09-16
• 發明（設計）人: 李妍星;王真文;趙克林
• 申請（專利權）人: 四川長江職業學院
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L61/4511
• 代理公司: 四川雍和道知識產權代理事務所(特殊普通合伙) 51348
• 代理人: 劉宇輝

1.一種帶取證分析擴展的DNSSEC系統實現方法，其特征在于：包括如下步驟：

S1：進行DNS系統域名規劃，確定DNS系統的域名分區，以及域名從根、頂級到各級域名的層次結構；

S2：利用各級域名服務器所管理域名分區的定義，分別生成配置文件；

S3：針對根域名服務器和非根域名服務器分別進行網絡與運行環境的基礎配置；

S4：針對根域名服務器和非根域名服務器分別規劃取證分析通道；

S5：針對服務器管理的域名分區中域名數據的數字簽名；

S6：域名服務器中權威域名服務器的簽署；

S7：建立DNS系統簽名驗證的信任鏈，并完成配置；

S8：定義日志優先級別和定義通道文件，實現取證分析數據的提取。

2.根據權利要求1所述的帶取證分析擴展的DNSSEC系統實現方法，其特征在于：S1所述的DNS系統的系統規劃，是需要根據所部署的DNSSEC系統的設計要求，或者要對已有DNS系統進行安全升級的設計要求，規劃域名服務器的體現結構，以及整個系統的域名分區。

3.根據權利要求1所述的帶取證分析擴展的DNSSEC系統實現方法，其特征在于：S2所述的生成配置文件，是利用各級域名服務器管理域名分區規劃，定義域名分區與IP地址解析規則保存的文件位置以及服務類型的內容。

4.根據權利要求1所述的帶取證分析擴展的DNSSEC系統實現方法，其特征在于：S3所述的針對根域名服務器和非根域名服務器的基礎配置，包括操作系統OS優化、網絡配置、身份驗證、DNS域名解析程序運行環境配置。

5.根據權利要求1所述的帶取證分析擴展的DNSSEC系統實現方法，其特征在于：S4所述的規劃取證分析通道是針對根服務器和非根服務器定義日志數據，規劃DNSSEC系統運行日志數據到數據庫文件的具體結構，數據結構至少包括日志類別、日志數據、寫入時間、消息級別。

6.根據權利要求1所述的帶取證分析擴展的DNSSEC系統實現方法，其特征在于：S5所述的域名數據的數字簽名，是基于域名服務器的身份驗證，以及所管理的域名分區，進行根服務器和非根服務器的域名數據數字簽名。

7.根據權利要求1所述的帶取證分析擴展的DNSSEC系統實現方法，其特征在于：S6所述的權威域名服務器的簽署，保障域名服務器的域名解析及查詢響應。

8.根據權利要求1所述的帶取證分析擴展的DNSSEC系統實現方法，其特征在于：S7所述的簽名驗證的信任鏈，包括如下子步驟：

步驟7-1：根域名服務區在域名根區定義信任描點，對根區的密鑰簽名密鑰KSK進行確認；

步驟7-2：然后根區密鑰簽名密鑰KSK對根區域信息簽名密鑰ZSK進行簽名；

步驟7-3：根區區域簽名密鑰ZSK對頂級域名分區的委派記錄DS進行簽名，頂級域名區域的密鑰簽名密鑰KSK由委派記錄DS來進行驗證。

步驟7-4：頂級域名分區的密鑰簽名密鑰KSK對頂級域名分區密鑰ZSK進行簽名，同時頂級域名根區簽名密鑰ZSK對下一級域名分區的委派記錄DS進行簽名。

9.根據權利要求1所述的帶取證分析擴展的DNSSEC系統實現方法，其特征在于：S8定義日志優先級別和定義通道文件，重點針對域名解析Resolver、DNS安全擴展DNSSEC等日志進行專門配置和優先級定義，并定義從通道文件數據和服務器緩存數據獲取數據的時間要求和緩存數據庫地址。