[发明专利]一种DNS攻击的防御方法和装置

说明书

本公开提供一种DNS攻击的防御方法和装置，其中，所述方法应用于防护设备，包括：接收第一客户端发送的第一DNS请求报文，所述DNS请求报文中携带着第一源网际互连协议IP地址；若确定所述第一源IP地址在黑名单IP表中，则根据校验规则校验所述第一DNS请求报文，所述黑名单IP表用于存储黑名单IP地址；若校验结果为通过，则转发所述第一DNS请求报文到DNS服务器。本公开提供的方法对黑名单IP地址发出的DNS请求报文进行校验，阻拦校验不通过的DNS请求报文对应的DNS会话，在有效防御DNS攻击的情况下，避免了正常的客户端IP地址无法正常上网的情况，最大程度地降低对用户的影响。

技术领域

本公开涉及网络安全技术领域，尤其涉及一种DNS攻击的防御方法和装置。

背景技术

在因特网上域名与IP地址之间是一对一(或者多对一)的关系，域名虽然便于人们记忆，但机器之间只能互相认识IP地址，它们之间的转换工作称为域名解析，域名解析需要由专门的DNS服务器(Domain Name Server，域名服务器)来完成。

DNS攻击是一种典型的网络攻击，通过伪造IP(Internet Protocol，网际互连协议)地址向DNS服务器发送大量的DNS请求报文，通常这些DNS请求报文中请求解析的域名是随机生成的，甚至是根本不存在的。被攻击的DNS服务器在接受到DNS请求报文的时候，首先查找是否有请求解析的域名对应的缓存，如果查不到并且该域名无法直接由服务器解析的时候，就会递归向上一层的服务器查找。DNS服务器在极短的时间内需要处理大量的域名解析工作，从而导致DNS服务器严重超载甚至瘫痪，无法响应正常用户的DNS请求报文。

相关技术中，有两种方法防御DNS攻击，一是通过DNS Cache(Domain Name SystemCache，缓存域名系统)替代DNS服务器回复DNS请求报文，然而DNS Cache存储的DNS记录有限，导致大量正常DNS请求报文无法查到Cache表项而被丢弃，影响用户上网；二是把域名无法解析的DNS请求报文中的客户端IP地址加入黑名单，处于黑名单中客户端发送的DNS请求报文就无法到达DNS服务器，由于攻击时DNS请求报文中IP地址是伪造的，有可能和正常的用户IP地址相同，导致正常的客户端被加入黑名单，影响正常用户。

发明内容

有鉴于此，本公开实施例提供一种DNS攻击的防御方法和装置，以对DNS攻击进行有效防御，同时不影响正常用户的访问。

具体地，本公开实施例是通过如下技术方案实现的：

第一方面，提供一种DNS攻击的防御方法，所述方法应用于防护设备，包括：

接收第一客户端发送的第一DNS请求报文，所述第一DNS请求报文中携带着第一源网际互连协议IP地址；

若确定所述第一源IP地址在黑名单IP表中，则根据校验规则校验所述第一DNS请求报文，所述黑名单IP表用于存储黑名单IP地址；

若校验结果为通过，则转发所述第一DNS请求报文到DNS服务器。

第二方面，提供一种DNS攻击的防御方法，所述方法应用于管理设备，所述方法包括：

接收分析日志，所述分析日志至少包括：DNS请求报文的源IP地址和解析失败的域名；

若所述解析失败的域名达到第一阈值，则开启DNS防御：在所述源IP地址中确定黑名单IP地址，下发所述黑名单IP地址到防护设备。

第三方面，提供一种DNS攻击的防御装置，所述装置应用于防护设备，包括：

接收模块，用于接收第一客户端发送的第一DNS请求报文，所述第一DNS请求报文中携带着第一源网际互连协议IP地址；