DNS攻击解决方案.doc

《DNS攻击解决方案.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、利用DNS重定向技术抵御DNS攻击的解决方案一、背景最近武汉市的DNS服务频繁受到攻击，某些感染病毒的PC不断发出DNS请求，其中有些DNS报文源IP异常、有些看上去完全正常，但源IP使用同一源端口、或使用不同源端口每秒发出数十甚至数百上千的DNS请求。造成DNS报文数或连接数非常高。该问题平常就一直存在，当上网高峰期到来时，中毒用户上网较多，一旦总连接数超过阀值，就会导致F5四层交换器连接数耗尽，造成DNS服务不可用，用户浏览器不能正常打开网页的严重结果。二、解决方案1、过滤全网用户的DNS请求：利用现有的绿色上网系统的前端过滤设备，将所有DNS请求从现网流量中过滤出

2、来，并转发给武汉绿网公司开发的DNS重定向处理器。2、排除异常的DNS请求：分析模块实时分析并排除大部分的异常DNS请求。3、响应正常的DNS请求：对于正常的DNS请求，重定向模块将用伪装包模拟合法的DNS服务器将正确的DNS应答报文发回给用户。4、创建实时DNS数据库：DNS数据库缓存模块需要循环不间断地将所有正常的DNS请求报文中的URL做去重处理，并建立最新的URL与IP间的对应关系。有两种方式建立对应数据库：²与某个合法的DNS服务器直接通讯，根据去重处理后的最新的DNS请求，不断与合法的DNS服务器同步，从中获取当前最新的对应关系。²监控某条10G链路返回方向

3、的流量，捕获所有DNS应答报文，从中获取当前最新的对应关系。5、优点：²不改变现有网络结构，不增加故障点。²F5正常工作时，用户只是多获得一个DNS应答报文，一般情况下DNS服务器也会返回2-4个应答报文，不会有什么影响。²无论出于何种原因F5不能正常工作，用户依然可以得到正确的DNS应答报文，不会造成DNS解析不了、用户打不开网页的问题。²与F5工作原理完全不同，实现交叉保护，比F5双机冷备份方案更可靠，是其有效补充。²F5正常工作时，即使DNS重定向处理器停机也不会对用户有任何影响，除非F5和DNS重定向处理器同时不可用，出现这种概率的情况非常的小。即使出现这种情况

4、，也只是等同于现在F5不工作的状况，不会更糟。²为了防止DNS重定向处理器中的DNS数据库不完全或极少量的误差影响用户使用，可以在发出应答报文的时候，延迟若干毫秒，确保比F5返回的DNS应答报文慢一点达到用户端，这样平常用户使用时还是先收到F5返回的应答报文，只有F5出现故障时，用户才会用上DNS重定向处理器发出应答报文。武汉绿色网络信息服务有限责任公司2008-11-8