陈曾胜

（中国移动通信集团安徽有限公司，合肥 230009）

大规模灾难性DNS安全事件智能防护系统设计研究

陈曾胜

（中国移动通信集团安徽有限公司，合肥 230009）

随着互联网业务的快速发展，基于域名解析的应用问题层出不穷，DNS作为互联网最重要的基础服务，其安全隐患也日益突出，本文设计了一种大规模灾难性DNS安全事件智能防护系统，通过建立大型容灾数据库，实现单个及大规模域名解析故障时，及时恢复业务，同时通过数据库中海量数据的分析，建立疑似攻击源自动发现和处置机制，系统可实现大幅提升DNS解析正确率、安全性及投诉处理效率。

DNS；攻击；安全防护；域名监控；容灾容错

1 引言

DNS作为互联网最重要的基础服务，其安全隐患也日益突出。DNS服务一般分为缓存、递归和授权，缓存服务器主要承担用户的解析请求，递归服务器负责向外部进行域名的递归查询，授权服务器则承担其他DNS服务对本地域名的查询服务。DNS是全球最分散的数据库，域名信息遍布在无数授权服务器上，易受网络故障、恶意攻击等事件的影响。作为一个开放系统，DNS主要面临着个别域名授权服务器攻击、根DNS系统攻击、网络故障、域名劫持、疑似攻击源等5类安全威胁与风险，而对DNS系统而言，传统的防护方法主要是通过防火墙、流量清洗等方式实现攻击防护，或通过深度数据分组检测对应用层协议进行检查过滤的方法实现对DNS架构安全的进一步防护。但对于断网、封锁以及根服务器故障等各种大规模灾难性DNS解析事件，目前运营商DNS系统尚无完整的自动发现、恢复域名解析的系统。……