[发明专利]识别伪装LDNS请求的DDOS攻击的防护方法及装置

摘要

本发明提供一种识别伪装LDNS请求的DDOS攻击的防护方法及装置，方法包括：向授权DNS服务器的前端或者向内部布置防护模块；防护模块存储最新的LDNS白名单列表以及TTL正常参考值；当发生异常时，解析所接收到的LDNS请求包，获得所述LDNS请求包所携带的当前TTL值，并与TTL正常参考值比较，从而判断该LDNS请求包是否为正常包。不需要依赖于网络运营商是否采取相关的路由控制策略，即可对权威DNS服务器进行有效防护，使其不被DDOS攻击，具有防护效果好、CPU消耗低的优点。

主权项

一种识别伪装LDNS请求的DDOS攻击的防护方法，其特征在于，包括以下步骤：S1，当需要防护某一台授权DNS服务器时，向所述授权DNS服务器的前端或者向所述授权DNS服务器的内部布置防护模块；S2，所述防护模块存储最新的LDNS白名单列表；其中，所述LDNS白名单列表存储全球正常LDNS的IP地址；S3，所述防护模块实时获得各个正常LDNS到所述授权DNS服务器的TTL正常参考值，然后存储各个正常LDNS的IP地址与TTL正常参考值的对映关系；其中，所述防护模块实时维护最近设定时间长度内的历史TTL值列表，基于所述历史TTL值列表计算得到所述TTL正常参考值；S4，在所述授权DNS服务器运行时，当接收到异常数量的LDNS请求包时，则将所接收到的各个LDNS请求包发送到所述防护模块；所述防护模块解析所接收到的LDNS请求包，获得所述LDNS请求包的源IP地址；其中，所述LDNS请求包的源IP地址即为用于标识发送所述LDNS请求包的LDNS的IP地址；然后判断所述源IP地址是否为所述LDNS白名单列表所存储的IP地址；如果是，则执行S5；S5，所述防护模块进一步解析所述LDNS请求包，获得所述LDNS请求包所携带的当前TTL值；然后查找S3获得的对映关系，获得与所接收到的LDNS请求包的源IP地址对应的TTL正常参考值；然后判断所述当前TTL值偏离所述TTL正常参考值的偏离度是否在设定范围内，如果在，则执行S6；如果不在，则执行S7；S6，所述防护模块得出当前接收到的所述LDNS请求包为正常包，将所述LDNS请求包发送给所述授权DNS服务器，由所述授权DNS服务器对所述LDNS请求包进行域名解析；同时，将所述当前TTL值增加到所述历史TTL值列表中，并计算得到新的TTL正常参考值，用该新的TTL正常参考值更新S3存储的对映关系；S7，所述防护模块得出当前接收到的所述LDNS请求包为攻击包，丢弃所述LDNS请求包。