黄勇军 林玲 段梦霞

摘 要：针对目前电力行业信息内网存在的疑似勒索病毒的恶意域名访问，以及终端主机可能被植入远控木马和僵尸程序的安全威胁情况，结合电力企业实际，对电力企业恶意域名访问拦截技术进行了应用研究。文章首先介绍了了恶意域名访问的发现方法，然后根据电力企业内网的实际情况，提出了两种拦截技术的应用方法。通过采用多种恶意域名拦截技术，可以有效地在局域网内部对恶意域名的访问进行拦截，保障信息网络运行安全。

关键词：DNS；恶意域名；hosts；IPS

0 引言

近期，江西公司内网发现网络中存在大量的疑似勒索病毒行为，发送较多勒索病毒特定的DNS域名解析请求及大量的445端口随机网段扫描行为，而主机大量访问远程控制木马类恶意域名的情况，则存在被植入远控木马和僵尸程序的安全威胁。入侵者可以通过远控木马控制目标主机的操作权限，可以用来监视用户行为、篡改文件、传播病毒、沦为跳板机、组建僵尸网络等多种高危操作。

公司信息内网的安全性对公司安全生产工作至关重要，主机（含服务器、个人终端等）一旦感染恶意程序，将会给企业内网带来严重的潜在威胁，同时DNS作为信息网络最基础服务，一旦大量的未知域名访问请求很可能会造成DNS服务器宕机，从而造成依靠其服务的各类应用访问中断。

九江公司通过在修改终端本地Hosts文件以及通过内网防火墙DPtech DPX8000 IPS模块进行DNS未知访问拦截，有效地拦截了未知域名对省公司DNS服务器的访问，同时也可以及时地发现可疑主机，然后进行“精准”查杀。……