導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

DNS服務(wù)器安全管理與防范

文檔作者：張俊祥文檔來(lái)源：首都經(jīng)濟(jì)貿(mào)易大學(xué)教育技術(shù)中心		點(diǎn) 擊數(shù)：	更新時(shí)間： 2023年05月04日
下載地址：點(diǎn)擊這里	文件大?。?215.58 KB 共2頁(yè)	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共2頁(yè)]

本文件共2頁(yè)，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問(wèn)題，下載是正常的。

	文件大?。?15.58 KB 共2頁(yè) 文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇： deh系統(tǒng)位移傳感器與安全運(yùn)行

上一篇： WEB服務(wù)器發(fā)布安全策略研究

文本預(yù)覽

僅提取頁(yè)面文字內(nèi)容，供快速閱讀使用。

DNS服務(wù)器安全管理與防范
張俊祥
(首都經(jīng)濟(jì)貿(mào)易大學(xué)教育技術(shù)中心北京100070)
【摘要】DNs是網(wǎng)絡(luò)核心服務(wù)之一，針對(duì)DNs的網(wǎng)絡(luò)攻擊頻發(fā)。本文在分析DNs攻擊方式下，提出了幾點(diǎn)做好DNs
服務(wù)器安全防范的建議。
【關(guān)鍵詞】DNs攻擊方式；安全管理；防范
中圖分類(lèi)號(hào)：TP393．08 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009—6833{2015)07—109_02
0引言
2015年第二屆國(guó)家網(wǎng)絡(luò)安全宣傳周即將啟動(dòng)，5月底就傳
出各種網(wǎng)絡(luò)攻擊事件。先是支付寶短暫斷網(wǎng)，后澄清是“施工被
斷光纖”，接著“攜程故障，24小時(shí)以上不能提供服務(wù)，具體故
障原因不明”，然后傳出黑客公開(kāi)要攻擊國(guó)家重點(diǎn)網(wǎng)絡(luò)設(shè)備。網(wǎng)
絡(luò)形勢(shì)表明，網(wǎng)絡(luò)安全無(wú)論是對(duì)于普通用戶(hù)，還是對(duì)于服務(wù)器
管理員已經(jīng)到了非常重要的程度。
DNS服務(wù)器作為網(wǎng)絡(luò)核心服務(wù)之一，是網(wǎng)絡(luò)攻擊的首要目
標(biāo)，如何做好DNS服務(wù)器的管理是服務(wù)器管理員的主要目標(biāo)。
1 DNS服務(wù)簡(jiǎn)介
1．1 DNs簡(jiǎn)介
DNS是域名系統(tǒng)(Domain N唧e Syst鋤)的縮寫(xiě)，是因特
網(wǎng)的一項(xiàng)核心服務(wù)，它作為可以將域名和IP地址相互映射的一
個(gè)分布式數(shù)據(jù)庫(kù)，能夠使人更方便的訪(fǎng)問(wèn)互聯(lián)網(wǎng)，而不用去記
住能夠被機(jī)器直接讀取的IP地址。通常Intemet主機(jī)域名的一
般結(jié)構(gòu)為：主機(jī)名．三級(jí)域名．二級(jí)域名．頂級(jí)域名。Intemet的頂
級(jí)域名由Int啪et網(wǎng)絡(luò)協(xié)會(huì)域名注煅查詢(xún)負(fù)責(zé)網(wǎng)絡(luò)地址分配的
委員會(huì)進(jìn)行登記和管理，它還為Intemet的每一臺(tái)主機(jī)分配唯
一的IP地址。全世界現(xiàn)有三個(gè)大的網(wǎng)絡(luò)信息中心：位于美國(guó)
的Inter．NIC，負(fù)責(zé)美國(guó)及其他地區(qū)；位于荷蘭的RIPE-NIC，
負(fù)責(zé)歐洲地區(qū)；位于日本的A聊岍C，負(fù)責(zé)亞太地區(qū)。
用戶(hù)通過(guò)訪(fǎng)問(wèn)域名，DNS服務(wù)器解柝域名，返回用戶(hù)IP
地址，完成整個(gè)服務(wù)。DNS服務(wù)器就是網(wǎng)絡(luò)中提供地址解析服
務(wù)的網(wǎng)絡(luò)服務(wù)器。
1．2近期攻擊事件
2014年12月10日，爆發(fā)了今國(guó)內(nèi)規(guī)模最大的針對(duì)運(yùn)營(yíng)商
DNS網(wǎng)絡(luò)的惡性DDos攻擊事件。攻擊是從12月10日凌晨開(kāi)
始，現(xiàn)場(chǎng)網(wǎng)絡(luò)監(jiān)控到攻擊流量突增的情況，多個(gè)省份不斷出現(xiàn)
網(wǎng)頁(yè)訪(fǎng)問(wèn)緩慢，甚至無(wú)法打開(kāi)等故障現(xiàn)象。經(jīng)過(guò)分析樣本發(fā)現(xiàn)，
12月10日的攻擊主要是針對(duì)多個(gè)域名的隨機(jī)查詢(xún)攻擊，造成
多省的DNS遞歸服務(wù)器延遲增大，核心解析業(yè)務(wù)受到嚴(yán)重影
響。
2叭4年1月21日發(fā)生全國(guó)大部分網(wǎng)站不能訪(fǎng)問(wèn)的情況，
事后國(guó)家互聯(lián)網(wǎng)應(yīng)急中心發(fā)布通告宣稱(chēng)，此次事件是由網(wǎng)絡(luò)攻
擊導(dǎo)致國(guó)內(nèi)互聯(lián)網(wǎng)用戶(hù)訪(fǎng)問(wèn)國(guó)際域名解析服務(wù)時(shí)出現(xiàn)異常。
事實(shí)上，針對(duì)DNS的攻擊就一直沒(méi)有中斷過(guò)。2009年國(guó)
內(nèi)斷網(wǎng)，2010年baidu網(wǎng)絡(luò)域名被劫持事件，2011年電信寬帶
斷網(wǎng)事件等，網(wǎng)絡(luò)攻擊者針對(duì)DNS服務(wù)的攻擊一直持續(xù)不斷。
筆者作為DNS服務(wù)器管理員在日常維護(hù)中經(jīng)常遇到對(duì)DNS服
務(wù)器的各種攻擊。
2 DNS相關(guān)的攻擊類(lèi)型及原理
2．1針對(duì)DNs服務(wù)器的DDos攻擊
分布式拒絕服務(wù)(DDoS：Distributed Denial ofService)攻
擊指借助于客戶(hù)朋慢務(wù)器技術(shù)，將多個(gè)計(jì)算機(jī)聯(lián)合起來(lái)作為攻擊
平臺(tái)，對(duì)一個(gè)或多個(gè)目標(biāo)發(fā)動(dòng)DDoS攻擊，從而成倍地提高拒
絕服務(wù)攻擊的威力。這類(lèi)攻擊就是向受害者DNS服務(wù)器發(fā)送大
量的肼qs解析請(qǐng)求包，由于DNS服務(wù)器每秒查詢(xún)的次數(shù)有限，
使得它忙不過(guò)來(lái)造成拒絕服務(wù)，從而發(fā)生故障。
簡(jiǎn)單說(shuō)就是攻擊者可以借助多個(gè)肉雞同時(shí)向DNS服務(wù)器
發(fā)起請(qǐng)求，從而引起服務(wù)器解析故障，造成服務(wù)宕機(jī)。
2．2 DNS反射型攻擊
大量主機(jī)偽造受害者ip向網(wǎng)絡(luò)上的大量開(kāi)放式遞歸DNS
服務(wù)器發(fā)送DNS查詢(xún)請(qǐng)求包。由于開(kāi)放遞歸DNS服務(wù)器并不
對(duì)請(qǐng)求包進(jìn)行地址真實(shí)性驗(yàn)證，因此都會(huì)進(jìn)行應(yīng)答。這樣受害
者將同時(shí)接收到大量的DNs請(qǐng)求應(yīng)答包，堵塞受害DNS服務(wù)
器的網(wǎng)絡(luò)，最終形成拒絕服務(wù)攻擊。
這種攻擊利用了遞歸查詢(xún)的漏洞，攻擊者偽造DNS服務(wù)器
ip向遞歸查詢(xún)DNS服務(wù)器發(fā)起查詢(xún)請(qǐng)求，遞歸查詢(xún)DNs服務(wù)
器返回請(qǐng)求，當(dāng)這種請(qǐng)求達(dá)到一個(gè)量級(jí)，就對(duì)正常DNS服務(wù)器
形成了一種DDoS攻擊。
2．3針對(duì)用戶(hù)的DNs劫持
血s劫持就是本來(lái)你想訪(fǎng)問(wèn)百度的網(wǎng)站www．baidu．com，結(jié)
果輸入域名后返回給你的是搜狐的服務(wù)器ip，那么自然顯示在
瀏覽器中的也就是搜狐的頁(yè)面。那么這是怎么發(fā)生的呢?
首先的原因是DNS服務(wù)器地址被劫持。用戶(hù)的網(wǎng)絡(luò)中的
DNS服務(wù)器地址被修改為惡意的DNS服務(wù)器。當(dāng)你訪(fǎng)問(wèn)網(wǎng)絡(luò)
時(shí)，你訪(fǎng)問(wèn)的任何域名都被解析成其他的地址。
但是這種情況一般是不會(huì)發(fā)生的，因?yàn)閻阂馊藛T登錄不了
的路由器修改不了DNS服務(wù)器地址，就更修改不了你本機(jī)的
DNS設(shè)置。不過(guò)當(dāng)幾個(gè)小的漏洞結(jié)合在一起的時(shí)候就成為了大
的漏洞。比如之前出現(xiàn)過(guò)的路由器劫持事件。
還有一種情況是用戶(hù)的hosts文件被修改。根據(jù)解析流程來(lái)
看，如果要解析www．qq．com的ip，系統(tǒng)會(huì)首先訪(fǎng)問(wèn)hosts文件，
看看有沒(méi)有相關(guān)的綁定。如果有直接返回綁定ip，如果沒(méi)有訪(fǎng)
問(wèn)DNS服務(wù)器進(jìn)行解析。如果hosts文件被修改，那么用戶(hù)訪(fǎng)
問(wèn)綁定域名就會(huì)訪(fǎng)問(wèn)綁定ip。
還有一種劫持就是直接劫持域名服務(wù)器根服務(wù)器，這種情
況比較少見(jiàn)，但也有出現(xiàn)的例子。
2．4侵入DNs服務(wù)器修改記錄。
針對(duì)網(wǎng)絡(luò)服務(wù)提供商的DNS地址，進(jìn)行暴力入侵DNS服
務(wù)器，獲取管理員權(quán)限，直接進(jìn)行域名記錄修改。這種方式比
較困難，但也是存在著可能。
2．5緩存區(qū)中毒攻擊
惡意人員向受害聊qS服務(wù)器發(fā)送域名的解析請(qǐng)求，然后搶
在權(quán)威服務(wù)器應(yīng)答前偽造應(yīng)答包發(fā)送給受害服務(wù)器。這樣錯(cuò)誤
的解析記錄就保存到了緩存中，那么接下來(lái)緩存時(shí)間內(nèi)所有該
域名的解析就都是錯(cuò)誤了。這種攻擊偽造的是回答資源記錄，
攻擊時(shí)間很短，效率低。
3 DNS服務(wù)器安全管理與防范
DNS服務(wù)是網(wǎng)絡(luò)基礎(chǔ)服務(wù)，由于網(wǎng)絡(luò)的自適應(yīng)性，DNS采
用的面向非連接的UDP協(xié)議，但uDP協(xié)議又是不安全的，而
域名的樹(shù)形結(jié)構(gòu)是為了便于查詢(xún)服務(wù)，這都使得單點(diǎn)故障明顯，
網(wǎng)絡(luò)安全威脅加劇。要提高DNs服務(wù)器安全，有以下幾種思路：
3．1把DNs服務(wù)器放在網(wǎng)絡(luò)內(nèi)部區(qū)域
在網(wǎng)絡(luò)設(shè)計(jì)過(guò)程中，把DNS服務(wù)器放在安全區(qū)域。訪(fǎng)問(wèn)互
聯(lián)網(wǎng)時(shí)，先有防火墻進(jìn)行安全保護(hù)，現(xiàn)在防火墻產(chǎn)品可以有效
抵御大多數(shù)網(wǎng)絡(luò)攻擊。
3．2提高DNs服務(wù)器的安全配置和硬件等級(jí)
DNs服務(wù)器內(nèi)部的安全防護(hù)策略有很多，應(yīng)針對(duì)DNS服
(下轉(zhuǎn)第11l頁(yè))

網(wǎng)友評(píng)論 more

電力安全論文最新內(nèi)容

03-05