[发明专利]一种减少针对DNS的攻击的装置、系统和方法

说明书

技术领域

本发明涉及网络安全技术，特别是涉及一种减少DNS的攻击的装置、系统和方法。

背景技术

域名系统（DNS，Domain Name System）是互联网基础设施的关键因素，它进行域名和IP地址之间的映射。即使是DNS的一小部分功能在极短的时间内不可用，也可能会影响整个互联网的使用，因而是完全不可接受的。然而，由于DNS查询和响应大多是基于用户数据报协议（UDP，User Data Protocol）的，而UDP是无连接的，很容易被假冒数据报，而基于假冒数据报的拒绝服务（DoS，denial of service）攻击难以阻止，并不可避免地对DNS服务产生重大损害。

针对DNS的基于假冒数据包的攻击策略主要有两种。一种攻击策略是向DNS服务器发送大量假冒的查询请求以使其超载，例如对虚假对象资源记录（RR，Resource Record）进行查询请求。因为标准的DNS服务器无法区分假冒和非假冒的请求，只能尽可能处理所有的请求，然后在其超载时不加区分地丢弃请求。然而，合法请求者一般认为请求掉队是由拥塞导致并强制性重传延迟，从而大大降低了超载服务器的合法请求的数量。另一种攻击策略是假冒其他源IP地址（第三方被攻击主机）发起查询请求，利用DNS工作机制放大流量的特点，例如，一个50字节的请求对应的响应消息可能有500字节，攻击者发送一个DNS请求，该请求对应的响应会比请求本身占用更多资源。在这种攻击下，放大的DNS流量可能将DNS服务器的带宽和第三方被攻击主机的下行带宽耗尽。

然而，目前对于此类攻击还没有合适的应对策略。

发明内容

本发明的目的在于提供一种减少针对DNS的攻击的方法、装置和系统，以有效地抑制针对DNS的攻击。

根据本发明的一个实施例，一种减少针对DNS的攻击的方法，该方法包括：本地递归名称服务器接收解析器发送的未携带凭证的第一请求，为该第一请求生成凭证，并向该第一请求的源IP地址发送该凭证；本地递归名称服务器接收解析器重新发送的携带有凭证的第一请求，如果判断该重新发送的第一请求中携带正确的凭证，则继续对该重新发送的第一请求进行处理；如果该重新发送的第一请求中携带错误的凭证，则丢弃该重新发送的第一请求。

根据本发明的另一实施例，一种减少针对DNS的攻击的装置，该装置位于DNS系统的本地递归名称服务器侧，包括请求接收单元、凭证生成单元和请求处理单元，其中：请求接收单元用于接收解析器发送的未携带凭证的第一请求，并将未携带凭证的第一请求转发至凭证生成单元；凭证生成单元用于为未携带凭证的第一请求生成凭证，并向该第一请求的源IP地址发送该凭证；请求接收单元还用于接收解析器重新发送的携带有凭证的第一请求，并将该重新发送的第一请求转发至请求处理单元；请求处理单元用于判断该重新发送的第一请求中携带的凭证是否正确，如果正确，则向本地递归名称服务器转发该重新发送的第一请求，否则，丢弃该重新发送的第一请求。

根据本发明的另一实施例，一种减少针对DNS的攻击的装置，该装置位于DNS系统的客户端侧，包括请求发送单元、凭证接收单元和请求重传单元，其中：请求发送单元，用于向本地递归名称服务器发送未携带凭证的第一请求；凭证接收单元，用于接收由本地递归名称服务器为所述第一请求生成的凭证；请求重传单元，用于将所述凭证携带在所述第一请求中，并将携带有凭证的第一请求重新发送给本地递归名称服务器。

根据本发明的又一实施例，一种减少针对DNS的攻击的系统，包括客户端侧和本地递归名称服务器侧，其中：客户端侧，用于向本地递归名称服务器侧发送未携带凭证的第一请求，接收本地递归名称服务器侧为该第一请求生成的凭证，并向本地递归名称服务器侧重新发送携带有该凭证的第一请求；本地递归名称服务器侧，用于接收客户端侧发送的未携带凭证的第一请求，向该第一请求的源IP地址发送凭证，并接收由客户端侧重新发送的携带有凭证的第一请求；如果该重新发送的第一请求中携带正确的凭证，则继续对该重新发送的第一请求进行处理，如果该重新发送的第一请求中携带错误的凭证，则丢弃该重新发送的第一请求。