[发明专利]一种防范DNS洪水攻击的装置和方法

说明书

技术领域

本发明涉及网络安全技术，尤其涉及一种防范DNS洪水攻击的装置和方法。

背景技术

DNS是域名系统（Domain Name System）的缩写，它是由解析器和域名服务器组成的。域名服务器（DNS Server）是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。DNS解析域名的流程大体如下：首先由客户端发起域名解析请求，本地DNS服务器收到该请求后，会在本地及缓存中查找，如果没有找到，则会向上一级DNS服务器发起请求，上一级DNS服务器会将解析结果通过回应报文返回给本地DNS服务器，此时，本地DNS服务器将所述解析结果存入缓存，以便后续客户端再次请求解析该域名的时候，可以直接返回解析结果，同时会将解析结果返回给本次请求解析该域名的客户端。

近年来DNS攻击事件屡屡发生，目前DNS洪水攻击就是其中一个典型的攻击。DNS洪水攻击是一种基于特定应用协议的UDP洪水攻击，攻击方向DNS服务器发送大量域域名请求报文，致使DNS服务器严重超载，无法继续响应正常用户的DNS请求，从而达到攻击的目的。

现有技术中，对DNS洪水攻击的防护主要是根据域名来防护的，其基本处理流程是将DNS请求报文中携带的被解析域名解析出来，然后统计周期内访问次数或者访问的数据量，正常的域名请求一般是在一个范围内的，如果超过此范围，就认为是攻击报文，将此报文丢掉。现有技术通过域名的防护，只能对整个域名进行防护，比如域名www.google.com在其第三级www上离散变化，现有技术的防护过于单一，基本无效。

发明内容

有鉴于此，本发明提供一种防范DNS洪水攻击的装置和方法，以解决现有技术存在的不足。

具体地，所述装置应用在网络安全设备上，该装置包括：

级数计算模块，用于在该网络安全设备接收DNS请求报文后计算该报文携带的请求解析域名的域名级数，转数量判断模块处理；

数量判断模块，用于更新当前域名级数对应的报文统计数量，然后判断更新后的所述报文统计数量是否符合预定的规则，如果否，则确定发生DNS攻击，如果是，则转级数判断模块；

级数判断模块，用于判断所述请求域名的级数是否小于等于2，如果是，则允许该DNS请求报文通过。

所述方法包括以下步骤：

步骤A、在该网络安全设备接收DNS请求报文后计算该报文携带的请求解析域名的域名级数，转步骤B；

步骤B、更新当前域名级数对应的报文统计数量，然后判断更新后的所述报文统计数量是否符合预定的规则，如果否，则确定发生DNS攻击，如果是，则转步骤C；

步骤C、判断所述请求域名的级数是否小于等于2，如果是，则允许该DNS请求报文通过。

由以上技术方案可见，本发明通过判断域名请求报文的统计数量进而识别攻击报文，有效地防范了DNS洪水攻击。

附图说明

图1是本发明一种实施方式的方法流程图；

图2是本发明一种实施方式的装置逻辑图。

具体实施方式

针对现有技术中存在的问题，本发明提供一种防范DNS洪水攻击的装置和方法。为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

请参考图1和图2，在本发明一种优选的实施方式中，所述装置包括：级数计算模块、数量判断模块以及级数判断模块。所述装置执行如下处理流程：

步骤101、在网络安全设备接收DNS请求报文后，计算该报文携带的请求解析域名的域名级数。

域名是Internet地址中的一项，与网络上数字型IP地址相对应，用户可以通过域名访问其对应的网站，相对于IP地址来讲，便于记忆。域名可以分为不同的级别，包括顶级域名、二级域名、三级域名等等，举例来说，域名www.abc.def.fhg.ijk.com是一个六级域名，其中com是该域名的第一级，ijk是第二级、fhg是第三级、def是第四级等等依次类推。

本步骤中，在接收到DNS请求报文后，首先从中获取该报文携带的请求解析的域名，然后计算该域名的级数。本步骤由级数计算模块执行。

步骤102、判断请求域名的域名级数是否大于配置的级数，如果是，则将所述请求解析域名的域名级数更新为配置的级数。