[发明专利]一种DNS请求的处理方法、装置及系统

说明书

本发明公开了一种DNS请求的处理方法、装置及系统，用以解决现有技术中对伪造DNS请求的漏识别、误识别以及会耗费DNS较多系统资源的问题。该方法包括：获得域名系统DNS请求中包含的域名信息；判断所述域名信息是否匹配于预先获得的域名信息集合中包含的可信域名信息；在判断结果为否时，按照预设的伪造DNS请求的处理方式，对包含所述域名信息的所述DNS请求进行处理。

技术领域

本发明涉及通信技术领域，尤其涉及一种DNS请求的处理方法、装置及系统。

背景技术

计算机域名系统（Domain Name System或Domain Name Service，DNS)是由解析器和域名服务器组成的。域名服务器是指保存有网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。其中域名必须对应一个IP地址，而IP地址不一定只对应一个域名。域名虽然便于人们记忆，但机器之间只认IP地址，它们之间的转换工作称为域名解析，域名解析需要由专门的域名解析服务器来完成，DNS就是进行域名解析的服务器。当用户在应用程序中输入主机的域名，从而触发用户终端向DNS发起包含该域名的DNS请求时，DNS可以将DNS请求中的域名解析为与之相关的其他信息，如IP地址。

现有技术中，由于DNS可能受到来自网络的攻击，因此需要采用诸如防火墙、流量清洗系统等DNS安全防御机制，实现对攻击的识别与防御。现有技术中的DNS安全防御机制的技术原理一般为：安全设备利用路由技术劫持用户终端发送的DNS请求后，通过向用户终端发送DNS应答报文，并将该应答报文中的TC标志位置1的方式，触发用户终端再向DNS发起一个基于传输控制协议（Transmission Control Protocol，TCP）的TCP请求。按照该原理，若发送上述DNS请求的用户终端为合法的用户终端，则其会被触发发送TCP请求；而若发送该DNS请求的用户终端为不合法的用户终端，或根本不存在的用户终端，则其不会再被触发发送TCP请求。比如，针对由发包工具发起的基于离散源IP的攻击行为或基于伪造域名方式的攻击行为而言，由于DNS请求是由发包工具统一进行发送，且DNS请求中包含的源IP地址往往是伪造的IP地址，从而DNS基于DNS请求而反馈的DNS应答报文最终不会由一个真实存在的用户终端所接收，也就不会有用户终端向DNS发送TCP请求，因此可以在一定程度上实现DNS安全防御。

目前，现有技术中的上述DNS安全防御机制已被证明存在下述缺陷：

1.无法抵御由肉鸡发起的伪造域名的分布式拒绝服务（Distributed Denial ofService，DDoS）攻击行为。其中，肉鸡是被黑客攻破、随意操控，并种植了木马病毒的各种系统或服务器。由于肉鸡发起DDoS攻击时，是采用肉鸡主机的实地址及肉鸡主机操作系统协议栈发起伪造DNS请求，从而肉鸡主机可以接收到由安全设备返回的TC标志位置1的DNS应答报文，并且，在该DNS应答报文的触发下，肉鸡主机也会和普通用户一样发起TCP请求，从而使得安全设备将肉鸡主机发起的伪造DNS请求错误地识别为合法用户的DNS请求，因此导致安全设备对该伪造DNS请求的防御失败。

2.造成合法用户DNS请求的误杀。合法用户DNS请求被误杀的场景主要有：a、采用发包工具发起攻击的攻击者在伪造源IP的过程中往往会采用离散IP的方式，而该方式可能会误“盗用”合法用户的源IP地址;b、合法用户在发出DNS请求及收到DNS应答报文时没有第一时间回复TCP请求。以上两种场景下，都会使得安全设备误认合法用户的IP地址为攻击者的IP地址，从而对合法用户的DNS请求也会执行安全策略，比如过滤这类DNS请求。

3.增大DNS的资源占用压力。由于采用现有技术中的DNS安全防御机制，需要触发合法用户向DNS发送TCP请求，从而使得DNS需要对接收到的各TCP请求一一予以应答，因此，在这种情况下，DNS会消耗更多的系统资源，给系统带来更大的压力。