導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

DNS服務(wù)器安全管理與防范

文檔作者：張俊祥文檔來源：首都經(jīng)濟(jì)貿(mào)易大學(xué)教育技術(shù)中心		點擊數(shù)：	更新時間： 2023年05月04日
下載地址：點擊這里	文件大?。?215.58 KB 共2頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共2頁]

本文件共2頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?15.58 KB 共2頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費(fèi)）

下一篇： deh系統(tǒng)位移傳感器與安全運(yùn)行

上一篇： WEB服務(wù)器發(fā)布安全策略研究

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

DNS服務(wù)器安全管理與防范
張俊祥
(首都經(jīng)濟(jì)貿(mào)易大學(xué)教育技術(shù)中心北京100070)
【摘要】DNs是網(wǎng)絡(luò)核心服務(wù)之一，針對DNs的網(wǎng)絡(luò)攻擊頻發(fā)。本文在分析DNs攻擊方式下，提出了幾點做好DNs
服務(wù)器安全防范的建議。
【關(guān)鍵詞】DNs攻擊方式；安全管理；防范
中圖分類號：TP393．08 文獻(xiàn)標(biāo)識碼：A 文章編號：1009—6833{2015)07—109_02
0引言
2015年第二屆國家網(wǎng)絡(luò)安全宣傳周即將啟動，5月底就傳
出各種網(wǎng)絡(luò)攻擊事件。先是支付寶短暫斷網(wǎng)，后澄清是“施工被
斷光纖”，接著“攜程故障，24小時以上不能提供服務(wù)，具體故
障原因不明”，然后傳出黑客公開要攻擊國家重點網(wǎng)絡(luò)設(shè)備。網(wǎng)
絡(luò)形勢表明，網(wǎng)絡(luò)安全無論是對于普通用戶，還是對于服務(wù)器
管理員已經(jīng)到了非常重要的程度。
DNS服務(wù)器作為網(wǎng)絡(luò)核心服務(wù)之一，是網(wǎng)絡(luò)攻擊的首要目
標(biāo)，如何做好DNS服務(wù)器的管理是服務(wù)器管理員的主要目標(biāo)。
1 DNS服務(wù)簡介
1．1 DNs簡介
DNS是域名系統(tǒng)(Domain N唧e Syst鋤)的縮寫，是因特
網(wǎng)的一項核心服務(wù)，它作為可以將域名和IP地址相互映射的一
個分布式數(shù)據(jù)庫，能夠使人更方便的訪問互聯(lián)網(wǎng)，而不用去記
住能夠被機(jī)器直接讀取的IP地址。通常Intemet主機(jī)域名的一
般結(jié)構(gòu)為：主機(jī)名．三級域名．二級域名．頂級域名。Intemet的頂
級域名由Int啪et網(wǎng)絡(luò)協(xié)會域名注煅查詢負(fù)責(zé)網(wǎng)絡(luò)地址分配的
委員會進(jìn)行登記和管理，它還為Intemet的每一臺主機(jī)分配唯
一的IP地址。全世界現(xiàn)有三個大的網(wǎng)絡(luò)信息中心：位于美國
的Inter．NIC，負(fù)責(zé)美國及其他地區(qū)；位于荷蘭的RIPE-NIC，
負(fù)責(zé)歐洲地區(qū)；位于日本的A聊岍C，負(fù)責(zé)亞太地區(qū)。
用戶通過訪問域名，DNS服務(wù)器解柝域名，返回用戶IP
地址，完成整個服務(wù)。DNS服務(wù)器就是網(wǎng)絡(luò)中提供地址解析服
務(wù)的網(wǎng)絡(luò)服務(wù)器。
1．2近期攻擊事件
2014年12月10日，爆發(fā)了今國內(nèi)規(guī)模最大的針對運(yùn)營商
DNS網(wǎng)絡(luò)的惡性DDos攻擊事件。攻擊是從12月10日凌晨開
始，現(xiàn)場網(wǎng)絡(luò)監(jiān)控到攻擊流量突增的情況，多個省份不斷出現(xiàn)
網(wǎng)頁訪問緩慢，甚至無法打開等故障現(xiàn)象。經(jīng)過分析樣本發(fā)現(xiàn)，
12月10日的攻擊主要是針對多個域名的隨機(jī)查詢攻擊，造成
多省的DNS遞歸服務(wù)器延遲增大，核心解析業(yè)務(wù)受到嚴(yán)重影
響。
2叭4年1月21日發(fā)生全國大部分網(wǎng)站不能訪問的情況，
事后國家互聯(lián)網(wǎng)應(yīng)急中心發(fā)布通告宣稱，此次事件是由網(wǎng)絡(luò)攻
擊導(dǎo)致國內(nèi)互聯(lián)網(wǎng)用戶訪問國際域名解析服務(wù)時出現(xiàn)異常。
事實上，針對DNS的攻擊就一直沒有中斷過。2009年國
內(nèi)斷網(wǎng)，2010年baidu網(wǎng)絡(luò)域名被劫持事件，2011年電信寬帶
斷網(wǎng)事件等，網(wǎng)絡(luò)攻擊者針對DNS服務(wù)的攻擊一直持續(xù)不斷。
筆者作為DNS服務(wù)器管理員在日常維護(hù)中經(jīng)常遇到對DNS服
務(wù)器的各種攻擊。
2 DNS相關(guān)的攻擊類型及原理
2．1針對DNs服務(wù)器的DDos攻擊
分布式拒絕服務(wù)(DDoS：Distributed Denial ofService)攻
擊指借助于客戶朋慢務(wù)器技術(shù)，將多個計算機(jī)聯(lián)合起來作為攻擊
平臺，對一個或多個目標(biāo)發(fā)動DDoS攻擊，從而成倍地提高拒
絕服務(wù)攻擊的威力。這類攻擊就是向受害者DNS服務(wù)器發(fā)送大
量的肼qs解析請求包，由于DNS服務(wù)器每秒查詢的次數(shù)有限，
使得它忙不過來造成拒絕服務(wù)，從而發(fā)生故障。
簡單說就是攻擊者可以借助多個肉雞同時向DNS服務(wù)器
發(fā)起請求，從而引起服務(wù)器解析故障，造成服務(wù)宕機(jī)。
2．2 DNS反射型攻擊
大量主機(jī)偽造受害者ip向網(wǎng)絡(luò)上的大量開放式遞歸DNS
服務(wù)器發(fā)送DNS查詢請求包。由于開放遞歸DNS服務(wù)器并不
對請求包進(jìn)行地址真實性驗證，因此都會進(jìn)行應(yīng)答。這樣受害
者將同時接收到大量的DNs請求應(yīng)答包，堵塞受害DNS服務(wù)
器的網(wǎng)絡(luò)，最終形成拒絕服務(wù)攻擊。
這種攻擊利用了遞歸查詢的漏洞，攻擊者偽造DNS服務(wù)器
ip向遞歸查詢DNS服務(wù)器發(fā)起查詢請求，遞歸查詢DNs服務(wù)
器返回請求，當(dāng)這種請求達(dá)到一個量級，就對正常DNS服務(wù)器
形成了一種DDoS攻擊。
2．3針對用戶的DNs劫持
血s劫持就是本來你想訪問百度的網(wǎng)站www．baidu．com，結(jié)
果輸入域名后返回給你的是搜狐的服務(wù)器ip，那么自然顯示在
瀏覽器中的也就是搜狐的頁面。那么這是怎么發(fā)生的呢?
首先的原因是DNS服務(wù)器地址被劫持。用戶的網(wǎng)絡(luò)中的
DNS服務(wù)器地址被修改為惡意的DNS服務(wù)器。當(dāng)你訪問網(wǎng)絡(luò)
時，你訪問的任何域名都被解析成其他的地址。
但是這種情況一般是不會發(fā)生的，因為惡意人員登錄不了
的路由器修改不了DNS服務(wù)器地址，就更修改不了你本機(jī)的
DNS設(shè)置。不過當(dāng)幾個小的漏洞結(jié)合在一起的時候就成為了大
的漏洞。比如之前出現(xiàn)過的路由器劫持事件。
還有一種情況是用戶的hosts文件被修改。根據(jù)解析流程來
看，如果要解析www．qq．com的ip，系統(tǒng)會首先訪問hosts文件，
看看有沒有相關(guān)的綁定。如果有直接返回綁定ip，如果沒有訪
問DNS服務(wù)器進(jìn)行解析。如果hosts文件被修改，那么用戶訪
問綁定域名就會訪問綁定ip。
還有一種劫持就是直接劫持域名服務(wù)器根服務(wù)器，這種情
況比較少見，但也有出現(xiàn)的例子。
2．4侵入DNs服務(wù)器修改記錄。
針對網(wǎng)絡(luò)服務(wù)提供商的DNS地址，進(jìn)行暴力入侵DNS服
務(wù)器，獲取管理員權(quán)限，直接進(jìn)行域名記錄修改。這種方式比
較困難，但也是存在著可能。
2．5緩存區(qū)中毒攻擊
惡意人員向受害聊qS服務(wù)器發(fā)送域名的解析請求，然后搶
在權(quán)威服務(wù)器應(yīng)答前偽造應(yīng)答包發(fā)送給受害服務(wù)器。這樣錯誤
的解析記錄就保存到了緩存中，那么接下來緩存時間內(nèi)所有該
域名的解析就都是錯誤了。這種攻擊偽造的是回答資源記錄，
攻擊時間很短，效率低。
3 DNS服務(wù)器安全管理與防范
DNS服務(wù)是網(wǎng)絡(luò)基礎(chǔ)服務(wù)，由于網(wǎng)絡(luò)的自適應(yīng)性，DNS采
用的面向非連接的UDP協(xié)議，但uDP協(xié)議又是不安全的，而
域名的樹形結(jié)構(gòu)是為了便于查詢服務(wù)，這都使得單點故障明顯，
網(wǎng)絡(luò)安全威脅加劇。要提高DNs服務(wù)器安全，有以下幾種思路：
3．1把DNs服務(wù)器放在網(wǎng)絡(luò)內(nèi)部區(qū)域
在網(wǎng)絡(luò)設(shè)計過程中，把DNS服務(wù)器放在安全區(qū)域。訪問互
聯(lián)網(wǎng)時，先有防火墻進(jìn)行安全保護(hù)，現(xiàn)在防火墻產(chǎn)品可以有效
抵御大多數(shù)網(wǎng)絡(luò)攻擊。
3．2提高DNs服務(wù)器的安全配置和硬件等級
DNs服務(wù)器內(nèi)部的安全防護(hù)策略有很多，應(yīng)針對DNS服
(下轉(zhuǎn)第11l頁)

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

03-05