域名体系安全与防护策略研讨
万方数据丽黼日当前域名体蕞主■安全稚息分圻统栗用ｕＤ嚏现服务。ｕＤＰ服务最窖岛遭受（１牌作系统嗣洞Ｄｏｓ，ＤＤｏｓ攻击影响。黑客使用操作系统漏洞获取域名服务％登Ｈ埔Ｅ存巾毒攻击录权限，以获得域名系统重
万方数据丽黼日当前域名体蕞主■安全稚息分圻统栗用ｕＤ嚏现服务。ｕＤＰ服务最窖岛遭受（１牌作系统嗣洞Ｄｏｓ，ＤＤｏｓ攻击影响。黑客使用操作系统漏洞获取域名服务％登Ｈ埔Ｅ存巾毒攻击录权限，以获得域名系统重要信启或篡改配置黑客将域名缓存最统中的记录簋改为非法文件损坏主机系统．采用操作系统的服务器均结果ｕ缓存中毒攻击主要原理是缓存系统中所有ｑ能受到这类攻击。有数据均从外网其他授权域名服务器得到黑（２）非法域传送喜日充相关域乌授权服务器发送柏荚域名诸域传送是在多台域名服务器闸进行配置同采响应包至运苻商域名缓存服务器．运背商缓步的种机制．黑客利用Ｍｚｓｍ服务器向ｓｌａｖｅ行服务器误认为是真ｆ授权服务器发送的响应服务器进打配置目步时．使用非珐ｓｈｖｃ服务而接收下来，井缓存在运营商域宅系统中．柑器，妖取拿邮域名配置信包。这些信包可能存荚域名数据就被篡改ｎ用户通过缓存中毒域名在敏感设备地址或相关信息，为黑客进一步攻系统解析到∞域袁结果都屉键聪鳆过的．肌ｍ击提供了依据。可将用户流量导向非法网站一影响网络安全。（３）ＤＯＳ／ＤＤｏｓ攻击唧放大式攻击黑客使用发包工其庄报短时间内Ｐ生大毓黑客通过跳板或杠扦向目标主机发送儿流解析请求包，同刚发送给域名系统。域名系统量数摧包，堵塞目标主机州络或电路。蠼营商将消耗＾罱资源处理这些攻击请求将有限的域名系统目能台被黑霹用作攻击跳板，通过运系统资源消耗始尽．造成域名茉统址坪能力下营商域名系统枷被攻士目标主机发送大流量数降或瘫痪。ＤＯＳ／ＤＤｏＳ攻击的目标就是使域名据乜，系统迟缓或瘫痪。用Ｐ发送给域名系统请求的数据包和搋量ＤＯＳ／ＤＤｎｓ攻击是ＦＩ目口域名系统面临醴”ｊ以非常小．怛足域器系统近目给用户结果ｆｌ寸
,臼
ＤＮＳ
ｃ≤Ｕ翮ａｃｒ＿ｅ？。臼“…“…３；璺』。，√黼嚣口；尹声，岛
ｊ１＿『ｉ
◇∥；；夕沁一嘤万方数据ｑ文／／“５三
,电估技求
∞ｐ∞曰
烈
ｊ独
侧可选到６０倍．即黑客向域名系统发送大量伪造琼ＩＰ地址的数据包实现《菏商域名系统向攻☆目标丰机发送放大８一们的倍数据流量。
２３
ＤｏＳ，ＤＤＯＳ攻击防护
陕日瞄通域名系统口采州最大解析
（鲫足够冗余存量
陕曲联通域名采统消除ｒ鲁个环节的性能瓶颈，整个域名系统性能与域名服务器数量、性能成正比，具备平滑过硅到Ｈ万请求量系统的条件共有充足解析容量，在山理各种负载故障时．能够从容ｍ对．
阈值尽宿减少Ｄ０ｓ母Ｄ潮击的￥舶．
（１）有效的监控和同管茉统
管理员可实时ｒ解、查看域名系统当前、∞史状眦，准确掌握域名乐统蟛行状态及存舟的隐患。
目陕西联通口蛙譬睦蛹鼬愀
２１操作系统漏洞防御
酞日旺姐Ｉ）Ｎｓ｝二簧是道址搬怍系统ｉ拿加…柬＿、现划芙安食ｑ题ｆ々蝻ｐ±ｇ包特ＸⅧ忙＾…Ｆｎ：【补Ｔ“％等ｒ脞．
器生
（∞采用分椎式集蛘架掬
嚷西联通域名系统采川基于
“）清除各类性能瓶颈
陕西联通域名系统经过了所有环节优化梢除ｒⅡ能精在十电龉、４层＆防止墙设备卅＊∞性能瓶颈隐患．在嚣类攻击发生后整个系统ｕｆ以高烛ｉ搿７、，
＾…川技术的分肃式集群集构
Ｅ
分布到牟肯５个地ｒＨ弛６十＊点．＊４构ｑ有效抵抗ＤＯＳ／ＤＤｏ￥攻。ｂ，域＃
２
２非法域传送
调整ＢＩＮＤ配置文件、限制
系统可迅速实现节点间流量的保护目换，目使出现Ｐｔ故障．域袁系统也可以将故障囱敢隔离在单个竹电内腓不会精＿｛！＝省用户带来影响。
（５墚Ｊ１１分布式戟佴安全待护黼
陕口联通粟用分布式蛾名安全防护
访问瑞ｕ实现非法域传送攻击的防护。
幕统，币会臻ｃＩ－在个节点业荣蝴
Ｉ．进打ｊ或名安全防护，而是分敞到多个
万方数据
,目墨甚卫臣Ｅ阻宝羞塞全堕垃助扫重萱监型～————
节点、多条电路多个服务器上寅时安能。垒省所有服务器均可以提供针对垒防护，实现ｒ分散式处理机制．给整一个或多个１ｐ地址域名解析服务。柯个系统带来强大抗攻击能力的捌时，系效屏蔽，隔离．减弱省内域名系统的统资源占用也达到ｒ最低。ＤＯＳ／ＤＤｏ￥攻击；继续采用３层设备
发挥包交换能力强不会出现性能瓶
２．４缓存中毒，劫持预的优势；能够平滑扩容至百２３ＱＰＳ有效啊ｌｌ缓存中毒攻Ⅲ∞疗法是级的域名系统。
ＤＮＳＳ眠目坍ｒ有域名女＆进打数字箍名，
ｆＭＤＮＳＳｅｃ规范Ⅱ４披熟。陵西嘲顶防３，３增加缓存中毒攻击防护系统埋存中毒，蜥｝的方式±霉有呲ｆ几种。分布式缓存攻击防护系统．可以‘１Ｊ采用Ｈ新版奉ＢＩＮＤ转仑肯的缓存巾毒攻击分解到不同地晶新版本ＢｌＮＤｆＢｌＮＤ９＾２以市。不同服务器上壳成桐关的判断和上）茉蛹。ｆ以有效减少域若系统受班拦敝．诖系统荆断是针对缓存，Ｉｒ毒攻击的影响。击特＾完成的，可以有做阻止缓存巾埘采用再点域名保护蕞缱毒及相关的衍生攻击行为。重点域名雠护系统。』以“ｊ十重保
域名进行自动榆侧ｗ拉障排除，比＾３．４全新域名害虫和窖错系统工方式盟ｍ有效．日速度鲤快。域名窖铅系统可以住域名系虢中
实时采集域名解析的正确结果．自动
２５艟大式玻击更新最新域名数据到窖错数据库．相陵两联埔采州以下方，℃臧小放大据需哥设定争部或个别域名ＴＴＬ．并式攻击蛤域名每统带来的影响。可定期请理和备份窖错数据。该系统（１）凋攘ＥＤＮＳＯ协波可处理日常域名解析故障．大规模断谚工作方武。Ｊ以把放大式攻击可网，封锁以及大型眭册代理商系统崩能给域名基统带来的影响碱至最小，湍等各种影响域名系统安全和稳定的“目１所Ⅲ。书件．
∽采用虫食防护系统域书解析异常自动榆删功能．可陵西联西地名安全防护系统可有发现目为域名所有音问题引发的域名效谴小放大式攻女影响虹邕２所Ⅲ。系统故障。杆发生大规模事件时。Ｊ
自动或手动将容锚系统数据回注到缓
目计删采用刨新型的安全防存最统，避免解析景统崩册。域名容护系统错系统主要ｍ客错数据处理巾Ｃ、、容口ｆｔ陆：ｒｑ“】ｍ＃名ｇ，Ｆ口龟＋十ｉ镕域ｇ解析Ｐ。ｍｌ系统、窖错域名监终＃％”向Ｈ“目丝龇】】＿｛矗｝≯捧系统和现有的域名解析缓存系统组目≮＃会挂Ⅲ“Ｔ优＊Ⅲ№成奔错薮据处理中心则可分为数据
％集系统和数据库系统两类。
３１坚持Ａｎｖ∞８ｔ技术船构，实现容锗数据黼拄系统运行在现有域各地市分布式部署名解析缓存系统｝．件将数据传送精仝靠ｊ｝ｔ式涮ｍｌＭ州ｊ，¨辑锚数据处理中心．辑锆教据处理中
心将其整台处理詹提空给辑错域辑解
３２坚持采用分布式安全防护系析Ｐｏｍ瞟绕使用．域名解析缓存系统统和架构则会使用容锚系统中的数据米优化现Ｈ有开地的负戟分一ｒ１和ＦＪ－ｌｏｖｃ川』有的用户解析疏僵。
４８万方数据Ｔ日ｆｏｄ㈣ｕＮ烈ＴＤＮＳＴＥＣＨＮａｏＧⅥ２０１１－５（１）释错域名散据处理巾心容错域名数据处理中心对所有缀存服务器用户解析数据进行分析和处理．整古处理采集到的域名怙包，并棉相应解析结果记＾数据库．谖系统还可以将数据庠中的结＊提供给配置容错域名解析ＰｏｍＩ系统使用。ｍｆ窑错数据处理中心Ｔ作较复杂，需要处理大量数据，田而可将鹾处理中心分成数据采燕、数据库两十于系统、部署在缓存系统上的容锚数据监控系统将用户解析数据传给窖锗数据处理中心的数据采集子系统．窖锗数据采徭干系统将该数据整台并得到相关解析结果．处理后的数据记入窖锚数据库子系统，井提交给容错域名解析Ｐｏｒｔａｌ系统使用。㈣容罐域名孵析Ｐｍｌ系统为蛮现客锚域名数据和缓存服务理中心橼存系统阀建立客锚埔名解耩问的数据交换，需要在容错数据处析Ｐｏｍｌ系统．容错域名解析Ｐｏｍ僳缆从容错数据处理ｑｔ心得到相关数据．并提供给域名解析缓存系统使用。圆霹镨教撼啦控乐境容错数据监控系统是安装在现有】戎名解析缓存服务器中的软件模块，＊模蟪将用户流量信自发送给容锚数摧处理中心∞数据采集于系统井完成处理．控制缓存服务器从喜锚域名解析Ｐ。Ⅲ】系统中得到可以优化当前用户流量的数据。容错数据监控系统收攥用户数据信息．传送给容错数据处理中心的数据采集子系统，控制本地缓存服务器从容错域名解析ｐｏｒｔａｌ系统上获取数据，并对本地用户流帚进行ⅫＷ￥±自＃★＊自＆＾删，＊＆Ｅ…Ｉ！点生兰罂ｉ匿………。
,
域名体系安全与防护策略研讨作者：
作者单位：
刊名：
英文刊名：
年，卷(期)：刘保安， 鲍莉娅， 徐涛， 卜雨中国联合网络通信有限公司陕西省分公司电信技术TELECOMMUNICATIONS TECHNOLOGY2011(5)
本文链接：http://d.g.wanfangdata.com.cn/Periodical_dxjs201105011.aspx