DNS是Internet的重要基礎(chǔ)，包括WEB訪問、Email服務(wù)在內(nèi)的眾多網(wǎng)絡(luò)服務(wù)都和DNS息息相關(guān)，DNS的安全直接關(guān)系到整個(gè)互聯(lián)網(wǎng)應(yīng)用能否正常使用。近年來，針對DNS的攻擊越來越多，影響也越來越大，因此如何保護(hù)DNS系統(tǒng)的安全就成為了目前互聯(lián)網(wǎng)安全的首要問題之一。

DNS安全威脅分析

作為當(dāng)前全球最大最復(fù)雜的分布式層次數(shù)據(jù)庫系統(tǒng)，由于其開放、龐大、復(fù)雜的特性以及設(shè)計(jì)之初對于安全性的考慮不足，再加上人為攻擊和破壞，DNS系統(tǒng)面臨非常嚴(yán)重的安全威脅，因此如何解決DNS安全問題并尋求相關(guān)解決方案是當(dāng)今DNS亟待解決的問題。DNS安全防護(hù)主要面臨如下威脅：

針對DNS的DDoS攻擊

DDoS （Distributed Denial of service）攻擊通過僵尸網(wǎng)絡(luò)利用各種服務(wù)請求耗盡被攻擊網(wǎng)絡(luò)的系統(tǒng)資源，造成被攻擊網(wǎng)絡(luò)無法處理合法用戶的請求。而針對DNS的DDoS攻擊又可按攻擊發(fā)起者和攻擊特征進(jìn)行分類。主要表現(xiàn)特征如下：

按攻擊發(fā)起者分類

僵尸網(wǎng)絡(luò)：控制僵尸網(wǎng)絡(luò)利用真實(shí)DNS協(xié)議棧發(fā)起大量域名查詢請求

模擬工具：利用工具軟件偽造源IP發(fā)送海量DNS查詢

按攻擊特征分類

Flood攻擊：發(fā)送海量DNS查詢報(bào)文導(dǎo)致網(wǎng)絡(luò)帶寬耗盡而無法傳送正常DNS 查詢請求

資源消耗攻擊：發(fā)送大量非法域名查詢報(bào)文引起DNS服務(wù)器持續(xù)進(jìn)行迭代查詢，從而達(dá)到較少的攻擊流量消耗大量服務(wù)器資源的目的

DNS欺騙

DNS欺騙是最常見的DNS安全問題之一。當(dāng)一個(gè)DNS服務(wù)器由于自身的設(shè)計(jì)缺陷，接收了一個(gè)錯(cuò)誤信息，那么就將做出錯(cuò)誤的域名解析，從而引起眾多安全問題，例如將用戶引導(dǎo)到錯(cuò)誤的互聯(lián)網(wǎng)站點(diǎn)，甚至是一個(gè)釣魚網(wǎng)站；又或者發(fā)送一個(gè)電子郵件到一個(gè)未經(jīng)授權(quán)的郵件服務(wù)器。攻擊者通常通過三種方法進(jìn)行DNS欺騙：

緩存污染 ：攻擊者采用特殊的DNS請求，將虛假信息放入DNS的緩存中

DNS信息劫持 ：攻擊者監(jiān)聽DNS會話，猜測DNS服務(wù)器響應(yīng)ID，搶先將虛假的響應(yīng)提交給客戶端

DNS重定向 ：將DNS名稱查詢重定向到惡意DNS服務(wù)器

系統(tǒng)漏洞眾多

BIND(Berkeley Internet Name Domain)是是最常用的DNS服務(wù)軟件，具有廣泛的使用基礎(chǔ)，Internet上的絕大多數(shù)DNS服務(wù)器都是基于這個(gè)軟件的。BIND提供高效服務(wù)的同時(shí)也存在著眾多的安全性漏洞。，CNCERT/CC在2009年安全報(bào)告中指出：2009年7月底被披露的"Bind9"高危漏洞，影響波及全球數(shù)萬臺域名解析服務(wù)器，我國有數(shù)千臺政府和重要信息系統(tǒng)部門、基礎(chǔ)電信運(yùn)營企業(yè)以及域名注冊管理和服務(wù)機(jī)構(gòu)的域名解析服務(wù)器受到影響。

除此之外，DNS服務(wù)器的自身安全性也是非常重要。目前主流的操作系統(tǒng)如Windows、UNIX、Linux均存在不同程度的系統(tǒng)漏洞和安全風(fēng)險(xiǎn)，而補(bǔ)丁的管理也是安全管理工作中非常重要和困難的一個(gè)組成部分，因此針對操作系統(tǒng)的漏洞防護(hù)也是DNS安全防護(hù)工作中的重點(diǎn)。

DNS系統(tǒng)DDoS攻擊防護(hù)

目前業(yè)界主流的針對DNS的DDoS攻擊識別，通常采用判斷DNS請求流量閾值的方法來判斷發(fā)生攻擊，這種判斷方法有以下局限：

熱點(diǎn)事件產(chǎn)生的正常DNS請求流量超限的情況，容易產(chǎn)生誤報(bào)

針對通過非法域名以小博大的攻擊方法，由于其流量未超限會產(chǎn)生漏報(bào)

迪普科技采用智能的DNS DDoS攻擊識別技術(shù)，通過實(shí)時(shí)分析DNS解析失敗率、DNS響應(yīng)報(bào)文與請求報(bào)文的比例關(guān)系等方法，準(zhǔn)確識別各種針對DNS的DDoS攻擊，避免產(chǎn)生漏報(bào)和誤報(bào)，并且通過專業(yè)的線性DNS攻擊防御技術(shù)和離散DNS攻擊防御技術(shù)有效的防御了DNS DDoS攻擊。

同時(shí)，迪普科技還通過流量異常檢測、SYN Cookie、SYN Proxy、連接限制、連接速率限制等技術(shù)實(shí)現(xiàn)了全面的TCP Flood、UDP Flood、SYN Flood、ICMP Flood、HTTP Get、CC等DDoS攻擊防御，全面確保了DNS服務(wù)器不會受到DDoS攻擊。

DNS協(xié)議異常防護(hù)與漏洞防護(hù)

針對DNS欺騙和系統(tǒng)漏洞的防護(hù)，最有效的辦法是能夠準(zhǔn)確識別各種協(xié)議異常和攻擊行為。

傳統(tǒng)的攻擊識別方式是通過定義攻擊行為的特征來實(shí)現(xiàn)對已知攻擊的檢測，這種方式實(shí)現(xiàn)起來很簡單，但是會導(dǎo)致誤報(bào)較多，無法準(zhǔn)確的識別攻擊。迪普科技專業(yè)的漏洞庫，通過分析攻擊產(chǎn)生原理，定義攻擊類型的統(tǒng)一特征的方式來識別攻擊，這種方式不受攻擊變種的影響，具有較高的技術(shù)門檻，但是可以將誤報(bào)降至最低。

迪普科技專業(yè)的漏洞庫可以為DNS服務(wù)提供"虛擬系統(tǒng)補(bǔ)丁"的功能，即使DNS服務(wù)器未能及時(shí)更新補(bǔ)丁程序，依然能有效地阻擋所有企圖利用特定漏洞進(jìn)行的攻擊，可以在幾分鐘內(nèi)完成部署，保護(hù)DNS系統(tǒng)不受攻擊保護(hù)DNS系統(tǒng)。迪普科技專家團(tuán)隊(duì)及時(shí)跟蹤業(yè)界動態(tài)，并且為微軟MAPP計(jì)劃合作伙伴，對最新產(chǎn)生的攻擊可以以最快速度升級漏洞庫，避免受到零日攻擊的威脅。

典型組網(wǎng)

同時(shí)，由于DNS服務(wù)器承載著大量的域名查詢請求，因此也需要能夠提供高性能的解決方案，確保不會成為網(wǎng)絡(luò)中的瓶頸。迪普科技IPS是目前性能最高的IPS產(chǎn)品，最高性能可達(dá)萬兆，并且創(chuàng)新性的采用了并發(fā)硬件處理架構(gòu)，并采用獨(dú)有的"并行流過濾引擎"技術(shù)，性能不受特征庫大小、策略數(shù)大小的影響，全部安全策略可以一次匹配完成，即使在特征庫不斷增加的情況下，也不會造成性能的下降和網(wǎng)絡(luò)時(shí)延的增加。同時(shí)在專業(yè)漏洞庫的基礎(chǔ)上，集成了卡巴斯基病毒庫和應(yīng)用協(xié)議庫，是針對系統(tǒng)漏洞、協(xié)議弱點(diǎn)、病毒蠕蟲、DDoS攻擊、網(wǎng)頁篡改、間諜軟件、惡意攻擊、流量異常等威脅的一體化應(yīng)用層深度防御平臺。

DNS安全防護(hù)典型組網(wǎng)

迪普科技DNS安全防護(hù)解決方案目前已經(jīng)規(guī)模應(yīng)用于上海電信DNS系統(tǒng)，為上海電信DNS的穩(wěn)定運(yùn)行提供了可靠的安全保障，同時(shí)也證明了迪普科技已經(jīng)有能力為用戶提供電信級的安全解決方案。