www.hj8828.com防止恶意攻击 保护DNS服务器3大方法

DNS全称DomainNameSystem域名解析系统,通俗地说,DNS就是帮助用户在Internet上寻找名称与IP对应的解析服务。为了更方便使用网络资源,DNS服务提供一种将电脑或服务名称对应到关联该名称IP位址的方法。名称一定比枯燥的IP地址更容易了解和记忆。大多数使用者喜欢使用易记的名称例如www.51cto.com)来寻找网络中像是邮件服务器或网页服务器,而不是使用IP地址。当使用者在应用程式中输入易记的DNS名称时,DNS服务会将此名称解析成它的数值位址。
 
DNS解析是Internet绝大多数应用的实际定址方式;它的出现完美的解决了企业服务与企业形象结合的问题,企业的DNS名称是Internet上的身份标识,是不可重覆的唯一标识资源,Internet的全球化使得DNS名称成为标识企业的最重要资源。
 
然而重要的资源就可能引起有心人士的关心,随着Internet上DNS攻击事件的发生,DNS的安全问题也成为大家关心的焦点,常见的方式为:
 
1、针对DNS系统的恶意攻击:发动DNS DDOS攻击造成DNS名称解析瘫痪。
 
2、DNS名称劫持:修改注册讯息、劫持解析的结果。
 
当DNS服务器遭遇DNSSpoofing恶意攻击时,不管是正常DNS查询封包或非正常的封包都经由UDPPort53进到内部的DNS服务器,DNS服务器除了要处理正常封包外,还要处理这些垃圾封包,当每秒的封包数大到一定的量时,DNS服务器肯定无法处理了,此时正常的封包请求,也一定无法得到正常的回应,当查询网站的IP无法被回应时,用户当然连接不到网站看不见网页,如果是查询邮件服务器时,那邮件也无法被寄出,重要的资料也无法被顺利的传递了,因此,维护DNS服务的正常运作就是一件非常重要的工作。
 
针对以上的问题AX有一个解决方式,就是DNS应用服务防火墙,AX在这问题有三个有力的方法,可以有效的缓解这些攻击所造成的影响,
 
1、首先将非DNS协定的封包过滤Malformed Query Filter)
 
2、再来将经由DNS服务器查询到的讯息做缓存DNS Cache)
 
3、如果真的遇到大量的正常查询、AX可以启动每秒的连线控制Connection Rate
Limit)
 
Malformed Query Filter:  
这种非正常的封包通常都是用来将对外网络的频宽给撑爆,当然也会造成DNS服务器的忙碌,所以AX在第一线就将这类的封包过滤,正确的封包传递到后方的服务器,不正常的封包自动过滤掉避免服务器的负担。
 
DNS Cache:  
当DNS查询的回应回到AX时,AX可以预先设定好哪些Domain要Cache哪些不需要Cache,如果有Cache,当下一个同样的查询来到AX时,AX就能从Cache中直接回应,不需要再去DNS服务器查询,一方面减轻了DNS服务器的负担,另一方面也加快了回应的速度。
 
再者,当企业选用此功能时更能仅设定公司的Domain做Cache,而非关此Domain的查询一律不Cache或者拒绝回应,这样更能有效的保护企业的DNS服务器。
 
而ISP之类需提供大量查询的服务,更适合使用此功能,为DNS服务提供更好更快的回应。
 
Connection RateLimit:  
当查询的流量大到一定的程度时,例如同一个Domain每秒超过1000个请求,此时在AX上可以启动每秒的连线控制,控制进入到后端DNS服务器的查询量,超过的部分直接丢弃,更严格的保护DSN服务器的资源。
 
相信许多人期待在日新月异的网际网络中看到创新的网络技术,并能提供更好的网络应用服务。而确保DNS服务的不间断持续运作并让DNS服务所提供的资讯是正确的,这也是一切网络应用服务的基础。
 
本文提及DNS防火墙应用服务功能,除了希望提醒读者DNS服务的重要外,亦希望读者对DNS的安全性上有所认知,进而知道如何保护DNS服务器,并在防止被恶意攻击上提供一些有效的帮助。

一.基础概念

含义:指的是通过公开渠道可获得的信息,与目标系统不产生直接交互,尽量避免留下一切痕迹的信息探测。
分类:配置信息和状态信息。

特征 被动技术
IP地址或地址段 探测是否存活
MAC地址 内部嗅探ARP,DHCP
域名信息和主机名 外部嗅探DNS,内部嗅探NetBIOS,ARP,DHCP
操作系统和版本 指纹信息
运行的应用软件
用户名和密码
设备类型(服务器、客户机) 端口和协议使用,ICMP
运行的服务 端口和协议的使用
设备运行状态 活动水平和ICMP
应用状态 在应用端口上设备的对外活动水平
链路运行状态 活动水平和ICMP
链路利用 活动水平
设备逻辑位置 基于TTL的距离跳数
邮件地址,公司地址,公司组织架构,联系电话/传真号码,人员姓名/职务 为社会工程学做准备
文档图片数据
公开商业信息

背景

目前的流行网络协议是 TCP/IP 协议,其中的 IP 为第四版的
IPv4。这个IPv4的字长32位,为了方便人脑记忆已经转成四组十进制的数字了。例如
172.18.16.20
这样的格式。当我们利用Internet传输资料的时候,需要用到这个IP,否则资料封包怎么知道要被送到哪里去?然而对于IP的这种数字的玩意儿,记忆力实在是不怎么样。但是要上Internet一定需要IP,怎么办?
为了解决这个问题,早期的做法是利用某些特定的档案将主机名称与IP做一个对应,如此一来,我们就可以通过主机名称来取得该主机的IP了。人脑对于名字的记忆力可就好多了,那就是
/etc/hosts 这个档案的用途了。
可惜的是,这个方法还是有缺憾。那就是主机名称与IP的对应修改无法实时同步所有主机,所以用户端电脑每次都要重新下载一次档案才能顺利联网。随着电脑普及数量增多,这个问题日益严重。
为了解决这个问题,伯克莱大学发展处一套阶层式管理主机名称对应IP的系统,我们称它为
Berkeley Internet Name
Domain,BIND。也就是目前全世界使用广泛的域名系统(Domain Name
System,DNS)。

二.域名系统DNS

域名系统(Domain Name
System,DNS)是因特网的一项服务。它作为将域名和IP地址相互映射的一个分布式数据库,能够使人更方便地访问互联网。DNS使用TCP和UDP端口53。当前,对于每一级域名长度的限制是63个字符,域名总长度则不能超过253个字符。

DNS与FQND
FQDN:(Fully Qualified Domain
Name)完全合格域名/全称域名,是指主机名加上全路径,全路径中列出了序列中所有域成员。全域名可以从逻辑上准确地表示出主机在什么地方,也可以说全域名是主机名的一种完全表示形式。(例如:DNS:sina.com;FQND:www.sina.com)

主机名到IP地址的映射有两种方式:
1)静态映射,每台设备上都配置主机到IP地址的映射,各设备独立维护自己的映射表,而且只供本设备使用;
2)动态映射,建立一套域名解析系统(DNS),只在专门的DNS服务器上配置主机到IP地址的映射,网络上需要使用主机名通信的设备,首先需要到DNS服务器查询主机所对应的IP地址。

域名结构
通常 Internet 主机域名的一般结构为:主机名.三级域名.二级域名.顶级域名。
Internet 的顶级域名由
Internet网络协会域名注册查询负责网络地址分配的委员会进行登记和管理,它还为
Internet的每一台主机分配唯一的 IP 地址。全世界现有三个大的网络信息中心:
位于美国的 Inter-NIC,负责美国及其他地区;
位于荷兰的RIPE-NIC,负责欧洲地区;位于日本的APNIC ,负责亚太地区。

记录类型
1.主机记录(A记录):A记录是用于名称解析的重要记录,它将特定的主机名映射到对应主机的IP地址上。
2.别名记录(CNAME记录):
CNAME记录用于将某个别名指向到某个A记录上,这样就不需要再为某个新名字另外创建一条新的A记录。
3.IPv6主机记录(AAAA记录):
与A记录对应,用于将特定的主机名映射到一个主机的IPv6地址。
4.邮件交换记录(MX记录):用于将以该域名为结尾的电子邮件指向对应的邮件服务器以进行处理
5.域名服务器记录(NS记录
):用来表明由哪台服务器对该域名进行解析。可以查询某一子域名的DNS记录
6.PTR记录,是电子邮件记录中的邮件交换记录的一种,被用于电子邮件发送过程中的反向地址解析
7.服务位置记录(SRV记录):
用于定义提供特定服务的服务器的位置,如主机(hostname),端口(port
number)等。
8.NAPTR记录:它提供了正则表达式方式去映射一个域名。NAPTR记录非常著名的一个应用是用于ENUM查询。

域名解析
DNS查询有两种方式:递归和迭代。DNS客户端设置使用的DNS服务器一般都是递归服务器,它负责全权处理客户端的DNS查询请求,直到返回最终结果。而DNS服务器之间一般采用迭代查询方式。

什么是DNS ?

Domain Name System.