[发明专利]一种减少针对DNS的攻击的装置、系统和方法

权利要求书

1.一种减少针对DNS的攻击的方法，其特征在于，该方法包括：

本地递归名称服务器接收解析器发送的未携带凭证的第一请求，为该第一请求生成凭证，并向该第一请求的源IP地址发送该凭证；

本地递归名称服务器接收解析器重新发送的携带有凭证的第一请求，如果判断该重新发送的第一请求中携带正确的凭证，则继续对该重新发送的第一请求进行处理；如果该重新发送的第一请求中携带错误的凭证，则丢弃该重新发送的第一请求。

2.根据权利要求1所述的方法，其特征在于，还包括：

本地递归名称服务器记录失败的查询响应对应的同一资源记录的请求的数量；

当预定时间内的失败的查询响应对应的同一资源记录的请求数达到第一阈值，本地递归名称服务器丢弃针对该资源记录发来的后续请求。

3.根据权利要求1或2所述的方法，其特征在于，还包括：

本地递归名称服务器记录来自同一源IP地址的请求的数量；

当预定时间内的来自同一源IP地址的请求数达到第二阈值，本地递归名称服务器丢弃该源IP地址发来的后续请求。

4.一种减少针对DNS的攻击的装置，其特征在于，该装置位于DNS系统的本地递归名称服务器侧，包括请求接收单元、凭证生成单元和请求处理单元，其中：

请求接收单元用于接收解析器发送的未携带凭证的第一请求，并将未携带凭证的第一请求转发至凭证生成单元；

凭证生成单元用于为未携带凭证的第一请求生成凭证，并向该第一请求的源IP地址发送该凭证；

请求接收单元还用于接收解析器重新发送的携带有凭证的第一请求，并将该重新发送的第一请求转发至请求处理单元；

请求处理单元用于判断该重新发送的第一请求中携带的凭证是否正确，如果正确，则向本地递归名称服务器转发该重新发送的第一请求，否则，丢弃该重新发送的第一请求。

5.根据权利要求4所述的装置，其特征在于，所述请求处理单元还用于记录失败的查询响应对应的同一资源记录的请求的数量，当预定时间内的失败的查询响应对应的同一资源记录的请求数达到第一阈值，丢弃针对该资源记录发来的后续请求。

6.根据权利要求4或5所述的装置，其特征在于，所述请求处理单元还用于记录来自同一源IP地址的请求的数量，当预定时间内的来自同一源IP地址的请求数达到第二阈值，丢弃该源IP地址发来的后续请求。

7.一种减少针对DNS的攻击的装置，其特征在于，该装置位于DNS系统的客户端侧，包括请求发送单元、凭证接收单元和请求重传单元，其中：

请求发送单元，用于向本地递归名称服务器发送未携带凭证的第一请求；

凭证接收单元，用于接收由本地递归名称服务器为所述第一请求生成的凭证；

请求重传单元，用于将所述凭证携带在所述第一请求中，并将携带有凭证的第一请求重新发送给本地递归名称服务器。

8.一种减少针对DNS的攻击的系统，包括客户端侧和本地递归名称服务器侧，其中：

客户端侧，用于向本地递归名称服务器侧发送未携带凭证的第一请求，接收本地递归名称服务器侧为该第一请求生成的凭证，并向本地递归名称服务器侧重新发送携带有该凭证的第一请求；

本地递归名称服务器侧，用于接收客户端侧发送的未携带凭证的第一请求，向该第一请求的源IP地址发送凭证，并接收由客户端侧重新发送的携带有凭证的第一请求；如果该重新发送的第一请求中携带正确的凭证，则继续对该重新发送的第一请求进行处理，如果该重新发送的第一请求中携带错误的凭证，则丢弃该重新发送的第一请求。