DNS安全威胁与防护

Ｄ　Ｎ　Ｓ安全威胁与防护　李海明，苏开宇　（中国计量学院现代教育技术中心，浙江杭州３ｌＯＯｌ８）　摘要ＤＮＳ服务是］ｎｔｅｒｎｅｔ的基本支撑，其安全问题具有举足轻重的地位。在分析ＤＮＳ的工作机理及其面临的安全威胁的基础上　提出了相应的ＤＮＳ安全防护体系和安全防护策略，并以某高校的域名服务系统为例，深入讨论了ＤＮＳ安全防护的实施方案。　关键词：ＤＮＳ；安全威胁；防护体系；防护策略　ＤＮＳ　Ｓａｆｅ　Ｔｈｒｅａｔ　ａｎｄ　Ｐｒｏｔｅｃｔｉｏｎ　Ｌｌ　Ｈａｉ—ｍｉｎｇ，ＳＵ　Ｋａｉ—ｙｕ　（Ｍｏｄｅｒｎ　Ｅｄｕｃａｔ／ｏｎ　Ｔｅｃ￣ｎｏｌｏｇｙ　Ｃｅ＃ｔｅｒ，Ｃｈ／ｂａ　Ｊ／／／＃＃＃ＵｎｉＶｅｒｓｉｔｙ，ｔ／ａｎｇｚｆＴｏ￣，Ｚｈｅｙ）ａ／７＃＂ＪｌＯ０／８．　汀强　Ａｂｓｔｒａｃｔ：Ｔｈｅ　ＤＮＳ　ｓｅｒｖｉｃｅ　ｉｓ　ｔｈｅ］ｎｔｅｒｎｅｔ　ｂａｓｉｃ　ｓｕｐｐｏｒｔ．Ｉｔｓ　ｓｅｃｕｒｉｔｙ　ｐｒｏｂｌｅｍ　ｈａｓ　ｔｈｅ　ｃｒｉｔｉｃａｌ　ｉｎｆｌｕｅｎｃｅ　ｏｎ　Ａ　ｌａｒｇｅ　ｎｕｍｂｅｒ　ｏｆ　ｌｎｔｅｒｎｅｔ　Ａｐｐｌｉｃａｔｉｏｎｓ．　Ｏｎ　ｔｈｅ　ｆｏｕｎｄａｔｉｏｎ　ｏｆ　ＡｎＡｌｙｚｉｎｇ　ｔｈｅ　ＤＮＳ　ｗｏｒｋ　ｍｅｃｈａｎｉｓｍ　Ａｎｄ　ｉｔｓ　ｓａｆｅ　ｔｈｒｅａｔｓ，Ａ　ＤＮＳ　ｓａｆｅ　ｐｒｏｔｅｃｔｉｏｎ　ｓｙｓｔｅｍ　ｉｓ　ｐｒｏｐｏｓｅｄ　ａｎｄ　ｔｈｅ　ｓａｆｅ　ｐｒｏｔｅｃｔｉｏｎ　ｓｔｒａｔｅｇｙ　ｉｓ　ｐｒｅｓｅｎｔｅｄ　Ｆｉｎａｌｌｙ　ｔａｋｉｎｇ　ｅｘａｍｐｌｅ　ｆｏｒ　ｏｎｅ　ｕｎｉｖｅｒｓｉｔｙ’Ｓ　ＤＮＳ，ｔｈｅ　ｉｍｐｌｅｍｅｎｔａｔｉｏｎ　ｓｃｈｅｍｅ　ｆｏｒ　ＤＮＳ　ｓａｆｅ　ｐｒｏｔｅｃｔｉｏｎ　ｉｓ　ｄｉｓｃｕｓｓｅｄ　ｔｈｏｒｏｕｇｈｌｙ．　Ｋｅｙ　ｗｏｒｄｓ：ＤＮＳ：ｓａｆｅ　ｔｈｒｅａｔ；ｐｒｏｔｅｃｔｉｏｎ　ｉｎｆｒａｓｔｒｕｃｔｕｒｅ：ｐｒｏｔｅｃｔｉｏｎ　ｐｏｌｉｃｙ　１引言　ＤＮＳ（Ｄｏｍａｉｎ　Ｎａｍｅ　Ｓｙｓｔｅｍ，域名系统）是　了每一台服务器的数据量，使得管砰数据更加容易。　图ｌ描述了ＤＮＳ层次结构，它类似文件系统的目　录树结构　：在最顶端的是一个“ＲＯＯＴ”，其下分　多层次的分布式数据库系统，基本功能是负责提供　域名和ＩＰ地址之间的映射。作为当前全球最大最　复杂的分布式层次数据库系统，由于其开放、庞大、　复杂的特性以及设计之初对于安全性的考虑不足，　冉加上人为攻击和破坏，ＤＮＳ系统面临非常严重　的安全威胁。二十一世纪初以来，随着信息高速公　为好几个基本类别名称，如：ｃｏｒｎ、ｏｒｇ、ｅｄｕ等；　再下面是组织名称，如：ｉｂｍ、ｍｉｃｒｏｓｏｆｔ、ｉｎｔｅｌ　等；继而是主机名称，如：ｗｗｗ、ｍａｉｌ、ｆｔｐ等。　因为当初Ｉｎｔｅｒｎｅｔ是从美国发展起的，所以当时并　没有国域名称，但随着后来Ｉｒｉｔｅｒｎｅｔ的蓬勃发展，　ＤＮＳ也加进了诸如ｕｋ、ｔｗ、ｈｋ、Ｃｎ等国域或地　区域名称。　完整的域名是一个由“．”分隔的字符串，其　路的发展和普及，严重的ＤＮＳ安全事件时有发生。　据不完全统计，就２００９年５月到２０ｌ０年８月短短　１６个月时间内发生了２Ｉ起严重的ＤＮＳ安全事件，　影＂Ｉ￣ＪＦ泛　。因此，如何解决ＤＮＳ安全问题并寻　中每个部分都代表一个域或主机名。例如ｗｗｗ．　ｂａｉｄｕ．ｃｏｒｎ、ｗｗｗ．ｓｉｎａ．ＣＯ１ＴＩ．Ｃ１３和ｗｗｗ．ｃｊｌｕ．　求相关解决方案是当今ＤＮＳ亟待解决的问题。　ｅｄｕ．ｃｎ这些都完整的域名，他们虽然不是同一台　２　ＤＮＳ层次结构与工作机理　ＤＮＳ是一个分布式数据库，它利用树形目录结　构将主机名称的管理权分配给各级的ＤＮＳ服务器，　机器，却有相同的主机名ｗｗｗ，而在互联网中名　字相同的主机非常多，要准确地定位某台主机，首　先需要确定他们所属的域。这样就算有很多名字为　ｗｗｗ的主机，只要在不同的域当中，ＤＮＳ也能准　这使得管理和修改工作可以在各层本地完成，减少　基金项目：浙江省教育规划研究基金项目（ＳＣＧ２４７）　７５固ｌ＝＝　团２　０　１　１．０　４　ａ＊＇＼Ｓｗｑ＇、５Ｃ　ｏ　ｒｇ　ｃ　Ｉ　确地找到它。　一０，。　．．　１　Ｊ　图１　ＤＮＳ的层次结构　图２描述＿ｒ　ＤＮ　Ｓ的工作机理和域名ｗｗｗ．　ｃｊｌｕ．ｅｄｕ．ｃｎ的解析过程　。当客户机提出查询请求　时，首先在本地计算机的缓存中查找。如果在本地　无法获得查洵信息，则将查询晴求发给本地Ｄ　ＮＳ　服务器。如果本地ＤＮＳ服务器是域名所在区域的　权威服务器或者曾经在特定的时间段内处理过该域　名的资源请求，那么它就会从自己的区域或者缓存　中检索到该域名相应的资源记录，并返回给客户机，　否则它就将查询转发给根名字服务器。由根域名服　务器向下级域名服务器转发，直到某个域名服务器　搜索到相应的资源记录，这类查询一般称为递归查　询。最后由本地Ｄ　Ｓ服务器将递归查询结果返回　客户机，完成一个域名解析过程。　：　ｊ　Ｋｓ　≤。ｎ　一　墨　－　．ｊ囊　蔓　图２　ＤＮ￥工作机理和域名ＷＷＷ　ｃ］Ｉｕ　ｅｄｕ　Ｃｎ的解析过程　３　ＤＮＳ面临的安全威胁　３．１　ＤＤｏＳ攻击　ＤＤｏＳ（Ｄｉｓｔｒ　ｕｔｅｄ　Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ）攻击　通过僵尸网络利用各种服务请求耗尽被攻击网络的　系统资源，造成被攻击网络无法处理合法用户的请　求。而针对ＤＮＳ的ＤＤ０Ｓ攻击又可按攻击发起者　和攻击特征进行分类。　１）按攻击发起者分类　僵尸网络：控制大批僵尸网络利用真实ＤＮＳ　协议栈发起大量域名查询请求。　厂　。　Ｉ　模拟工具：利用工具软件伪造源ＩＰ发送海量　ＤＮＳ查询。　ｌ一＼厂　＼　二　—　ｊ　避　罐９　２）按攻击特征分类　＿　退　６　，　８　回　近　，　Ｆｌｏｏｄ攻击：发送海量ＤＮＳ查询报文导致网络　≮　应　盘　曩≤　：　带宽耗尽而无法传送正常ＤＮＳ查询请求。　｝　地　》　垃　Ｃ　』　资源消耗攻击：发送大量非法域名查询报文引　，　起ＤＮＳ服务器持续进行迭代查询，从而达到较少　阜，　Ｅ　ｔ　ｌ＿　．　■　一ｔ　的攻击流量消耗大量服务器资源的目的。　３．２　ＤＮＳ欺骗　ＤＮＳ欺骗　是最常Ｉ见的ＤＮＳ安全问题之一。　当一个ＤＮＳ服务器由于自身的设计缺陷，接收了　一个错误信息，那么，就将做出错误的域名解析，　从而引起众多安全问题，例如将用户引导到错误的　互联网站点，甚至是一个钓鱼网站；又或者发送一　个电子邮件到一个未经授权的邮件服务器。攻击者　通常通过三种方法进行ＤＮＳ欺骗：　（１）缓存污染：攻击者采用特殊的ＤＮＳ请求，　将虚假信息放入ＤＮＳ的缓存中。　（２）ＤＮＳ信息劫持：攻击者监听ＤＮＳ会话，猜　测Ｄ　ＮＳ服务器响应ＩＤ，抢先将虚假的响应提交给　客户端。　（３）ＤＮＳ重定向：将ＤＮＳ名称查询重定向到恶　意ＤＮＳ服务器　３．３系统漏洞　ＢＩＮＤ（Ｂｅｒｋｅｌｅｙ　Ｉｎｔｅｒｎｅｔ　ＮａＩＩｌｅ　Ｄｏｍａｉｎ）是　最常用的ＤＮＳ服务软件，具有，　泛的使用基础，　Ｉｎｔｅｒｎｅｔ上的绝大多数Ｄ　ＮＳ服务器都是基于这个　软件的。ＢＩＮＤ提供高效服务的同时也存在着众多　的安全性漏洞，ＣＮＣＥＲＴ／ＣＣ在２００９年安全报告　中指出：２００９年７月底被披露的“Ｂｉｎｄ９”高危　漏洞，影响波及全球数万台域名解析服务器，我国　２　０　１　１　０　４圃［１＝ｊ豳７６　ｎ　ｃ　Ｏ　ｇ　Ｃ　。　有数千台和重要信息系统部门、基础电信运营　企业以及域名注册管理和服务机构的域名解析服务　器受到影响。　其中：　（１）边界路由器与专用防火墙一起提供了对外　界网络的基本的安全保护，或者从缺乏网络控制的　除此之外，ＤＮＳ服务器的自身安全性也是非　常重要。目前主流的操作系统如Ｗｉｎｄｏｗｓ、ＵＮＩＸ、　区域进入到专用网络区域的主要接入点。它们提　供ＩＰ地址过滤和数据包过滤的基本规则，也提供　Ｌｉｎｕｘ均存在不同程度的系统漏洞和安全风险，而　补丁的管理也是安全管理工作中非常重要和困难的　一个组成部分，因此针对操作系统的漏洞防护也是　ＤＮＳ安全防护工作中的重点。　４　ＤＮＳ防护体系与防护策略　ＤＮＳ域名系统面临着来自内部和外部的各类风　险，构建ＤＮＳ外部安全防护体系来防范外部风险，　同时制定ＤＮＳ内部安全防护策略来预防内部风险，　以提高ＤＮＳ安全系数，降低ＤＮＳ故障水平，就显　得尤为　要。　４．１　ＤＮＳ外部安全防护体系　考虑到ＤＮＳ是一个分级系统，主要由机构、　非组织、企事业单位等各级域及其授权域名服　务器组成的。本文将以某高校的域名服务器为例，　构建某高校ＤＮＳ安全防护体系。图３描述了某高　校的网络拓扑结构和ＤＮＳ外部安全防护体系，它　将边界路由器、防火墙的策略路由和端口管理、Ｆ５　链路负载均衡器的链路控制和负载均衡策略、ＩＰＳ　入侵防御系统的攻击防护和漏洞修复策略结合在一　起，构成三位一体的校园ＤＮＳ安全防护体系。　童　ｊ　：　ｉ　图５某高校的网络拓扑结构和ＤＮＳ外部安全防护体系　７７圃【＝＝眄圉２　０　１｛０　４　＾ｒ］ｓｃ　ｏ　ｒｅ３ｔ０。　Ｉｎｔｅｒｎｅｔ与内部局域网之间的路由策略。　（２）Ｆ５链路负载均衡器本身提供智能ＤＮＳ功能，　它将内部服务器集群化或虚拟化成针对不同ＩＳＰ的　虚拟服务器（Ｖｉｒｔｕａｌ　Ｓｅｒｖｅｒ），并在外部网络用户　访问内部服务器时提供链路控制和负载均衡策略。　防火墙同时作为备份链路以应对Ｆ５单点故障的情　形（防火墙配置类似于Ｆ５配置，在Ｆ５链路负载均　衡器出现故障情况下，自动启用防火墙中的虚拟服　务器配置）。　（３）ＩＰＳ入侵防御系统被配置在包括ＤＮＳ在内　的服务器区域与用户网络之问，它一方面通过流　量异常检测和连接等技术实现了ＤＤＯＳ攻击　防御。一方面利用智能的ＤＮＳ　ＤＤｏＳ攻击识别技　术，通过实时分析ＤＮＳ解析失败率、ＤＮＳ响应报　文与请求报文的比例关系等方法，准确识别各种针　对ＤＮＳ的ＤＤＯＳ攻击，避免产生漏报和误报，并　且通过专业的线性ＤＮＳ攻击防御技术和离散ＤＮＳ　攻击防御技术有效的防御了ＤＮＳ　ＤＤｏＳ攻击。另　外它还具备专业的漏洞库，通过分析攻击产生原理，　来识别攻击和系统潜在漏洞，为ＤＮＳ服务提供“虚　拟系统补丁”的功能，即使ＤＮＳ服务器未能及时　更新补丁程序，依然能有效地阻挡所有企图利用特　定漏洞进行的攻击。　４．２　ＤＮＳ内部安全防护策略　ＤＮＳ协议或者软件设计与配置上的漏洞常常被　非法用户或者黑客利用，他们通过网络向ＤＮＳ发　起的攻击或欺骗以达到非法目的。加强ＤＮＳ内部　的安全防护策略可以最大程度地降低ＤＮＳ安全风　险。　Ｉｎｔｅｒｎｅｔ上最广泛使用的ＤＮＳ服务器软件是　ＢＩＮＤ，它是一款开源免费软件。目前最新的正式　版本是ＢＩＮＤ９．８．０。ＢＩＮＤ不断增加新的安全功能，　填补以前的安全漏洞。因此使用ＢＩＮＤ的最新版本　可以大大提高ＤＮＳ的安全性。但是随着新漏洞的　发现，最新版本也将成为不安全的旧版本。本文将　以ＢＩＮＤ为例，提出一些重要的ＤＮＳ内部安全防　护策略［１ｏ－ｉ　２ｉ。　（１）名字服务器递归查询功能。这样只会回　答自己授权域的查询请求，而不会缓存任何外部的　数据。　（２）区传送。在ＢＩＮＤ配置文件中通过设置　来允许区传送的主机，从一定程度上能减轻信　息泄漏。　（３）分离ＤＮＳ。ＢＩＮＤ可以通过视图（ｖｉｅｗ）技　术把ＤＮＳ系统划分为内部和外部两部分，外部视　图起着负责对外解析工作，内部视图则负责对内解　析。　（４）隐藏ＤＮＳ的版本信息。因为通常软件的漏　洞和风险信息疋ＦＩ和特定版本相关的。　（５）删除ＤＮＳ服务器上不必要的服务，避免非　法用户通过其他服务的漏洞侵入ＤＮＳ系统。　（６）合理配置ＤＮＳ的查询方式，流量很大的　ＤＮＳ服务器可以禁止客户机使用递归查询以减轻　流量。　（７）应用ＤＮＳＳｅｃ技术。ＤＮＳＳｅｃ主要依靠公钥　技术对于包含在ＤＮＳ中的信息创建密码签名，从　而为ＤＮＳ数据提供来源验证。　５结束语　ＤＮＳ安全是当前网络安全领域的一个重要课　题，是关系到国家利益的重大问题。本文在分析　ＤＮＳ安全漏洞及所面临的安全威胁基础上，提出　了一种外部安全防护体系和内部安全防护策略相结　合的ＤＮＳ安全防范方法，并以某高校的域名服务　系统为例，深入讨论了ＤＮＳ安全防护问题。随着　ＤＮＳＳｅｃ技术的不断完善，以及ＤＮＳＳｅｃ技术与其　他网络防护技术的融合，更安全可靠和更Ｄｉ：ｌ　Ｊ　泛的　ＤＮＳ服务将被应用到Ｉｎｔｅｒｎｅｔ中去。＠　参考文献：　ｆ】］北龙中网．　中国域名服务及安全现状报告ｆＥＢ／０Ｌ］．　ｈｔｔｐ：／／／ＷＷＷ．ｃｎｎｉｃ．ｎｅｔ．Ｃｎ．２０１　０．８．　［２］郑先伟．ＤＮＳ漏洞公布致网络危机四伏［Ｊ／ＯＬｊ　中国教　育网络，ｈｔｔｐ：／／ｗｗｗ　ｅｄｕ．ＣＲ，２００８．９．　［３］中国通信企业协会．　域名系统安全防护标准及检　查［ＤＢ／ＯＬ］，，ｎｔｔ口：／／ｗｅｎｋ　ｕ　ｂａｉｄｕ．ｃｏｒｎ／　ｖｉｅｗ／　ｇ２ｂｆ５０ｄａａ５８ｄａＯ　７　１　６ｃ１　７４９９４．ｈｔｍ１．２０１　０．ｉ　０．　［４Ｊ董新科，邢雨，高维银．ＤＮＳ网络安全系统分析与　设计［Ｊ］，计算机安全，２０ｉ　０年（６）：１　６—１　８．　［５］方蕾，钱华林．ＤＮＳ安全漏洞以及防范策略研究【Ｊ］　微电子学与计算机，２Ｏ０５年（ｉ　０）：５５　５　７．　［６］闰伯儒，方滨兴，李斌等．ＤＮＳ欺骗攻击的检测和防　范『Ｊ］．计算机工程　２００６年（ｉ　７）　（ａ２）２１：１　５０一ｉ　５５．　［７】黎成．网络ＤＮＳ欺骗攻击的检测及其防护［ＪＪ．电脑　知识与技术，２０ｉ　０年（８），（６）２４：６６８７－－６　７０６．　［８］任勉．ＤＮＳ安全与防护一～ＤＮｓ安全系统设计与实施　［Ｄ】，北京：北京邮电大学，２。０　７．　［９】国家互联网应急中心．中国互联网网络安全报告（２０１　０　年上半年）［ＥＢ／ＯＬ】．ｈｔｔｐ：／／　ＷＷＷ．ｃｅｒｔ．ｏｒｇ　ｃｎ，２０１　０．１　０　［１　０】陈松．　战学刚．基于双向ＮＡＴ和智能ＤＮＳ内网服务　器安全快速访问策略［Ｊ　Ｊ．计算机工程与设计，２００９　５０　（１　２）：２９４１　２９４４　［１　１】李洋．保护ＤＮＳ的安全［Ｎ／ＯＬ】．计算机世界．ｈｔｔｐ：／／／　ｗｗｗ２．ＣＣＷ．ｃｏｒｎ．ｃｎ／ｗｅｅｋｌｙ／ｔｅｃｈ／ｈｔｍ２００９／２００９０８５　１—６５　１　５７４　ｓｈｔｍｌ，２００９．８．　［１　２］Ｉｎｔｅｒｎｅｔ　Ｓｙｓｔｅｍｓ　Ｃｏｎｓｏｒｔｉｕｍ，Ｉｎｃ．．ＢＩＮＤ　９　Ａｄｍｉｎｉｓｔｒａｔｏｒ　ｇｅｆｅ　ｒｅｎｃｅ　ｔｖ１ａｎｕａ１．ｈｔｔ　Ｐ：／／ＷＷＷ．ｉ　ＳＣ．０　ｒｇ／ＳＯｆｔＷａ　ｒｅ／ｂｉ　ｎ　ｄ／　ｄｏｃｕｍｅｎｔａｔｉｏｎ／ａｒｍ９４．２００　７．１　１．　作者简介：李海明（１　９７６一），男，讲师，硕士．主要研完　方向为计算机科学与应用，网络技术。　收稿日期：２０１　１—０２　１　８　２　０　１　１　０　４固［晒圈７８　¨　０ｓＣ　ｏ　ｒ：：