[发明专利]一种防范DNS缓存攻击的方法及装置

权利要求书

1.一种防范DNS缓存攻击的装置，其应用于DNS安全设备中，该装置包括：

攻击检测单元，用于检测是否存在针对DNS服务器缓存进行攻击的行为，如果存在，则将被攻击的域名加入保护名单；

缓存防护单元，用于在所述攻击的行为发生时检查DNS响应报文中的域名是否在保护名单中，如果是，则将该域名对应的生存时间修改为更短的生存时间，并将修改后的响应报文发送出去。

2.根据权利要求1所述的装置，其特征在于，所述更短的生存时间不大于10秒或者是由管理员预先配置的。

3.根据权利要求1所述的装置，其特征在于，所述还包括：

请求处理单元，用于对收到的DNS请求报文的源端口和/或事务ID进行随机修改，然后针对修改后的请求报文保存相应的会话特征以及相应的修改记录，并将修改后的请求报文发送给DNS服务器；其中所述会话特征包括源端口以及事务ID；

响应处理单元，用于检查DNS服务器返回的响应报文是否能够匹配到所述会话特征，如果是，则提交给缓存防护单元，并将根据修改记录将该缓存防护单元发送出来的响应报文的目的端口和/或事务ID还原为与原始请求报文一致；如果否，则向攻击检测单元报告。

4.根据权利要求3所述的装置，其特征在于，所述攻击检测单元进一步用于判断未能匹配到会话特征的响应报文的速率超过预定的阈值，如果是，则判定为存在针对DNS服务器缓存进行攻击的行为。

5.根据权利要求3所述的装置，其特征在于，其中所述缓存防护单元，进一步用于在不存在攻击行为时，将响应报文透传回响应处理单元。

6.根据权利要求1所述的装置，其特征在于，还包括：报文检查单元，用于检查收到的报文是否为DNS请求或者响应报文，如果发现DNS请求报文则提交给请求处理单元，如果发现DNS响应报文则提交响应处理单元。

7.根据权利要求6所述的装置，其特征在于，所述报文检查单元，进一步用于将属于本地DNS服务器发出的DNS请求报文过滤出来提交给请求处理单元。

8.一种防范DNS缓存攻击的方法，其应用于DNS安全设备中，该方法包括：

A、检测是否存在针对DNS服务器缓存进行攻击的行为，如果存在，则将被攻击的域名加入保护名单；

B、在所述攻击的行为发生时检查DNS响应报文中的域名是否在保护名单中，如果是，则将该域名对应的生存时间修改为更短的生存时间，并将修改后的响应报文发送出去。

9.根据权利要求8所述的方法，其特征在于，所述更短的生存时间不大于10秒或者是由管理员预先配置的。

10.根据权利要求8所述的方法，其特征在于，所述还包括：

C、对收到的DNS请求报文的源端口和/或事务ID进行随机修改，然后针对修改后的请求报文保存相应的会话特征以及相应的修改记录，并将修改后的请求报文发送给DNS服务器；其中所述会话特征包括源端口以及事务ID；

D、检查DNS服务器返回的响应报文是否能够匹配到所述会话特征，如果是，则转步骤B，并将根据修改记录将该缓存防护单元发送出来的响应报文的目的端口和/或事务ID还原为与原始请求报文一致；如果否，则提交步骤A处理。

11.根据权利要求10所述的方法，其特征在于，步骤A进一步包括：判断未能匹配到会话特征的响应报文的速率超过预定的阈值，如果是，则判定为存在针对DNS服务器缓存进行攻击的行为。

12.根据权利要求8所述的方法，其特征在于，步骤B进一步包括：在不存在攻击行为时，将响应报文进行透传。

13.根据权利要求10所述的方法，其特征在于，还包括：

E、检查收到的报文是否为DNS请求或者响应报文，如果发现DNS请求报文则提交步骤C，如果发现DNS响应报文则提交步骤D。

14.根据权利要求13所述的方法，其特征在于，步骤E进一步包括：将属于本地DNS服务器发出的DNS请求报文过滤出来提交给步骤C处理。