導航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

DNS服務器安全管理與防范

文檔作者：張俊祥文檔來源：首都經(jīng)濟貿(mào)易大學教育技術中心		點擊數(shù)：	更新時間： 2023年05月04日
下載地址：點擊這里	文件大小： 215.58 KB 共2頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預覽 [文件共2頁]

本文件共2頁，如需編輯使用，請下載。

注：預覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?15.58 KB 共2頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇： deh系統(tǒng)位移傳感器與安全運行

上一篇： WEB服務器發(fā)布安全策略研究

文本預覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

DNS服務器安全管理與防范
張俊祥
(首都經(jīng)濟貿(mào)易大學教育技術中心北京100070)
【摘要】DNs是網(wǎng)絡核心服務之一，針對DNs的網(wǎng)絡攻擊頻發(fā)。本文在分析DNs攻擊方式下，提出了幾點做好DNs
服務器安全防范的建議。
【關鍵詞】DNs攻擊方式；安全管理；防范
中圖分類號：TP393．08 文獻標識碼：A 文章編號：1009—6833{2015)07—109_02
0引言
2015年第二屆國家網(wǎng)絡安全宣傳周即將啟動，5月底就傳
出各種網(wǎng)絡攻擊事件。先是支付寶短暫斷網(wǎng)，后澄清是“施工被
斷光纖”，接著“攜程故障，24小時以上不能提供服務，具體故
障原因不明”，然后傳出黑客公開要攻擊國家重點網(wǎng)絡設備。網(wǎng)
絡形勢表明，網(wǎng)絡安全無論是對于普通用戶，還是對于服務器
管理員已經(jīng)到了非常重要的程度。
DNS服務器作為網(wǎng)絡核心服務之一，是網(wǎng)絡攻擊的首要目
標，如何做好DNS服務器的管理是服務器管理員的主要目標。
1 DNS服務簡介
1．1 DNs簡介
DNS是域名系統(tǒng)(Domain N唧e Syst鋤)的縮寫，是因特
網(wǎng)的一項核心服務，它作為可以將域名和IP地址相互映射的一
個分布式數(shù)據(jù)庫，能夠使人更方便的訪問互聯(lián)網(wǎng)，而不用去記
住能夠被機器直接讀取的IP地址。通常Intemet主機域名的一
般結構為：主機名．三級域名．二級域名．頂級域名。Intemet的頂
級域名由Int啪et網(wǎng)絡協(xié)會域名注煅查詢負責網(wǎng)絡地址分配的
委員會進行登記和管理，它還為Intemet的每一臺主機分配唯
一的IP地址。全世界現(xiàn)有三個大的網(wǎng)絡信息中心：位于美國
的Inter．NIC，負責美國及其他地區(qū)；位于荷蘭的RIPE-NIC，
負責歐洲地區(qū)；位于日本的A聊岍C，負責亞太地區(qū)。
用戶通過訪問域名，DNS服務器解柝域名，返回用戶IP
地址，完成整個服務。DNS服務器就是網(wǎng)絡中提供地址解析服
務的網(wǎng)絡服務器。
1．2近期攻擊事件
2014年12月10日，爆發(fā)了今國內(nèi)規(guī)模最大的針對運營商
DNS網(wǎng)絡的惡性DDos攻擊事件。攻擊是從12月10日凌晨開
始，現(xiàn)場網(wǎng)絡監(jiān)控到攻擊流量突增的情況，多個省份不斷出現(xiàn)
網(wǎng)頁訪問緩慢，甚至無法打開等故障現(xiàn)象。經(jīng)過分析樣本發(fā)現(xiàn)，
12月10日的攻擊主要是針對多個域名的隨機查詢攻擊，造成
多省的DNS遞歸服務器延遲增大，核心解析業(yè)務受到嚴重影
響。
2叭4年1月21日發(fā)生全國大部分網(wǎng)站不能訪問的情況，
事后國家互聯(lián)網(wǎng)應急中心發(fā)布通告宣稱，此次事件是由網(wǎng)絡攻
擊導致國內(nèi)互聯(lián)網(wǎng)用戶訪問國際域名解析服務時出現(xiàn)異常。
事實上，針對DNS的攻擊就一直沒有中斷過。2009年國
內(nèi)斷網(wǎng)，2010年baidu網(wǎng)絡域名被劫持事件，2011年電信寬帶
斷網(wǎng)事件等，網(wǎng)絡攻擊者針對DNS服務的攻擊一直持續(xù)不斷。
筆者作為DNS服務器管理員在日常維護中經(jīng)常遇到對DNS服
務器的各種攻擊。
2 DNS相關的攻擊類型及原理
2．1針對DNs服務器的DDos攻擊
分布式拒絕服務(DDoS：Distributed Denial ofService)攻
擊指借助于客戶朋慢務器技術，將多個計算機聯(lián)合起來作為攻擊
平臺，對一個或多個目標發(fā)動DDoS攻擊，從而成倍地提高拒
絕服務攻擊的威力。這類攻擊就是向受害者DNS服務器發(fā)送大
量的肼qs解析請求包，由于DNS服務器每秒查詢的次數(shù)有限，
使得它忙不過來造成拒絕服務，從而發(fā)生故障。
簡單說就是攻擊者可以借助多個肉雞同時向DNS服務器
發(fā)起請求，從而引起服務器解析故障，造成服務宕機。
2．2 DNS反射型攻擊
大量主機偽造受害者ip向網(wǎng)絡上的大量開放式遞歸DNS
服務器發(fā)送DNS查詢請求包。由于開放遞歸DNS服務器并不
對請求包進行地址真實性驗證，因此都會進行應答。這樣受害
者將同時接收到大量的DNs請求應答包，堵塞受害DNS服務
器的網(wǎng)絡，最終形成拒絕服務攻擊。
這種攻擊利用了遞歸查詢的漏洞，攻擊者偽造DNS服務器
ip向遞歸查詢DNS服務器發(fā)起查詢請求，遞歸查詢DNs服務
器返回請求，當這種請求達到一個量級，就對正常DNS服務器
形成了一種DDoS攻擊。
2．3針對用戶的DNs劫持
血s劫持就是本來你想訪問百度的網(wǎng)站www．baidu．com，結
果輸入域名后返回給你的是搜狐的服務器ip，那么自然顯示在
瀏覽器中的也就是搜狐的頁面。那么這是怎么發(fā)生的呢?
首先的原因是DNS服務器地址被劫持。用戶的網(wǎng)絡中的
DNS服務器地址被修改為惡意的DNS服務器。當你訪問網(wǎng)絡
時，你訪問的任何域名都被解析成其他的地址。
但是這種情況一般是不會發(fā)生的，因為惡意人員登錄不了
的路由器修改不了DNS服務器地址，就更修改不了你本機的
DNS設置。不過當幾個小的漏洞結合在一起的時候就成為了大
的漏洞。比如之前出現(xiàn)過的路由器劫持事件。
還有一種情況是用戶的hosts文件被修改。根據(jù)解析流程來
看，如果要解析www．qq．com的ip，系統(tǒng)會首先訪問hosts文件，
看看有沒有相關的綁定。如果有直接返回綁定ip，如果沒有訪
問DNS服務器進行解析。如果hosts文件被修改，那么用戶訪
問綁定域名就會訪問綁定ip。
還有一種劫持就是直接劫持域名服務器根服務器，這種情
況比較少見，但也有出現(xiàn)的例子。
2．4侵入DNs服務器修改記錄。
針對網(wǎng)絡服務提供商的DNS地址，進行暴力入侵DNS服
務器，獲取管理員權限，直接進行域名記錄修改。這種方式比
較困難，但也是存在著可能。
2．5緩存區(qū)中毒攻擊
惡意人員向受害聊qS服務器發(fā)送域名的解析請求，然后搶
在權威服務器應答前偽造應答包發(fā)送給受害服務器。這樣錯誤
的解析記錄就保存到了緩存中，那么接下來緩存時間內(nèi)所有該
域名的解析就都是錯誤了。這種攻擊偽造的是回答資源記錄，
攻擊時間很短，效率低。
3 DNS服務器安全管理與防范
DNS服務是網(wǎng)絡基礎服務，由于網(wǎng)絡的自適應性，DNS采
用的面向非連接的UDP協(xié)議，但uDP協(xié)議又是不安全的，而
域名的樹形結構是為了便于查詢服務，這都使得單點故障明顯，
網(wǎng)絡安全威脅加劇。要提高DNs服務器安全，有以下幾種思路：
3．1把DNs服務器放在網(wǎng)絡內(nèi)部區(qū)域
在網(wǎng)絡設計過程中，把DNS服務器放在安全區(qū)域。訪問互
聯(lián)網(wǎng)時，先有防火墻進行安全保護，現(xiàn)在防火墻產(chǎn)品可以有效
抵御大多數(shù)網(wǎng)絡攻擊。
3．2提高DNs服務器的安全配置和硬件等級
DNs服務器內(nèi)部的安全防護策略有很多，應針對DNS服
(下轉第11l頁)

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

03-05