[发明专利]DNS行为的处理方法、装置及系统

说明书

技术领域

本发明涉及DNS防护领域，特别是涉及DNS行为的处理方法、装置及系统。

背景技术

DNS（Domain Name System，域名解析服务器）是一个分布式数据库，它允许对整个数据库的各个部分进行本地控制，同时整个网络也能通过客户-服务器方式访问每个部分的数据。借助备份和缓存机制，DNS将具有强壮性和足够的性能。

目前提供DNS解析的软件系统一般都是BIND、修改BIND版本、NSD、POWERDNS等。这些软件通过ANYCAST负载均衡等方式，可以实现一定的抗攻击。

但是DNS是基于UDP协议，能被轻松模拟制造各种请求攻击。随着系统的发展和硬件的不断提升，单台机器能发出的UDP包有大幅提升，所以很容易用少数的机器发出一秒钟几百万次的DNS请求攻击。

目前的攻击程序除了构造异常数据攻击外，还能构造出和用户发起的正常数据完全一样的请求攻击，此时DNS应答性能尤为重要。在提升DNS防护能力的同时，也需要提升单机的业务处理能力。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的DNS行为的处理方法、装置及系统。

根据本发明的一个方面，本发明实施例提供了一种DNS行为的处理方法，包括：

解析接收的网络数据包；

根据解析结果判断所述网络数据包对应的DNS行为类型；

根据所述DNS行为类型确定处理主体，其中，所述处理主体包括内核和/或应用层；

将所述网络数据包转至确定的处理主体，由所述确定的处理主体对所述网络数据包进行处理。

可选地，根据所述DNS行为类型确定处理主体，包括：

当所述DNS行为类型为攻击行为时，确定所述处理主体为内核；

当所述DNS行为类型为域名解析行为时，确定所述处理主体为应用层。

可选地，由所述确定的处理主体对所述网络数据包进行处理，包括：

所述处理主体为内核时，

由所述内核检测所述网络数据包，过滤将所述网络数据包中携带的DNS攻击行为；以及

将过滤后的网络数据包转发至所述应用层进行处理。

可选地，根据如下步骤判断所述网络数据包中携带有DNS攻击行为：

计算所述网络数据包的特征码；

判断所述特征码是否是DNS攻击行为的特征码；

若是，则确定所述网络数据包中携带有DNS攻击行为；

若否，则确定所述网络数据包中未携带有DNS攻击行为。

可选地，所述特征码包括：

指定时间内接收的来自同一IP的网络数据包数；

指定时间内接收的来自同一域名的网络数据包数。

可选地，将过滤后的网络数据包转发至所述应用层进行处理之后，还包括:

当根节点或者对应的其他域名解析出现异常，授权数据库通过BGP Anycast模式构建出虚拟根系统，将所有对根域名服务器的访问引导到虚拟根域节点服务器上对外提供DNS解析服务。

可选地，当DNS服务器出现故障无法及时修复时，将用户的DNS修复到能解析的安全DNS上，以保证网络用户能够使用网络；以及

在所述DNS服务器故障恢复之后，将用户的DNS配置还原至所述DNS服务器上。

根据本发明的另一个方面，本发明实施例提供了一种DNS行为的处理装置，包括：

解析模块，配置为解析接收的网络数据包；

判断模块，配置为根据解析结果判断所述网络数据包对应的DNS行为类型；

确定模块，配置为根据所述DNS行为类型确定处理主体，其中，所述处理主体包括内核和/或应用层；

处理模块，配置为将所述网络数据包转至确定的处理主体，由所述确定的处理主体对所述网络数据包进行处理。

可选地，所述确定模块还配置为：

当所述DNS行为类型为攻击行为时，确定所述处理主体为内核；

当所述DNS行为类型为域名解析行为时，确定所述处理主体为应用层。

可选地，所述判断模块还配置为根据如下步骤判断所述网络数据包中携带有DNS攻击行为：

计算所述网络数据包的特征码；

判断所述特征码是否是DNS攻击行为的特征码；

若是，则确定所述网络数据包中携带有DNS攻击行为；

若否，则确定所述网络数据包中未携带有DNS攻击行为。

可选地，所述特征码包括：