李建

摘 要：DNS在为Internet的正常运行提供可靠保障的同时也遭受来自网络的欺骗攻击威胁，DNS攻击具有隐秘性强、打击面大、攻击效果明显的特点。文章分析了DNS系统解析流程、DNS欺骗攻击原理和分类，并列出常见的欺骗攻击方式，提出不同检测方法，讨论了针对DNS欺骗攻击的防范策略，对提高DNS抗欺骗攻击能力具有明显效果。

关键词：DNS欺骗攻击；攻击模式；检测方法；防范策略

DNS（Domain Name System）为全球分布范围最广的分布式、多层次数据库系统，提供从IP到域名间的映射服务，是Internet正常运行的关键技术设施。DNS系统将便于识记的主机名映射为晦涩难记的IP，并保障其他网络应用（Email投递、网站访问等）顺利进行。DNS系统一经提出即发展迅速，全球注册主机数量从1987的2万余条发展到2005的3亿余条；独立域数量也由1987年几个发展到05年8290万余个。截至2014年6月，中国境内域名数达到1915万个。

DNS系统因其本身存在的脆弱性导致系统安全性、保密性均受到威胁，随着网络快速发展，DNS面临越来越多的攻击威胁。2014年11月，ICANN（国际域名与IP地址分配管理组织）称其受到黑客攻击，一批员工的账号、密码被盗，ICANN内部的“中央区域数据系统”中有关用户的姓名和地址信息以及与ICANN有业務往来的人士的个人信息也被盗。2014年1月21日，全球顶级根域名服务器出现故障，导致.com的网站无法访问。在Internet快速发展的今天，DNS重要性、安全性研究需求显得尤为突出。

1 域名系统解析原理

DNS系统分为根、顶级域名服务器、权威域名服务器、主机4个部分，使用分布式数据库将IP地址和域名一一映射。……