[发明专利]一种域名系统攻击检测方法、装置及系统

权利要求书

1.一种域名系统攻击检测方法，其特征在于，包括：

接收镜像的DNS应答报文；

解析DNS应答报文中的DNS应答报文信息并进行数值统计，得到统计数值；以及

在所述统计数值超过该统计数值所对应的设定阈值时发出攻击告警。

2.根据权利要求1所述的攻击检测方法，其特征在于，解析DNS应答报文中的DNS应答报文信息并进行数值统计，得到统计数值的步骤包括：

提取DNS应答报文中的目的IP，对其报文大小进行统计，并根据所统计的报文大小，对指定目的IP的DNS响应带宽进行计算，以获取该指定目的IP的应答报文的带宽统计数值，

其中，该带宽统计数值所对应的所述设定阈值是应答报文的带宽阈值。

3.根据权利要求1所述的攻击检测方法，其特征在于，解析DNS应答报文中的DNS应答报文信息并进行数值统计，得到统计数值的步骤包括：

提取DNS应答报文中的目的IP及ANY标志位，如果为ANY应答包，统计指定目的IP收到的DNS ANY响应报文数量，以获取该指定目的IP的ANY应答报文的数量值，作为数量统计数值，

其中，该数量统计数值所对应的所述设定阈值是ANY应答报文的数量阈值。

4.根据权利要求1所述的攻击检测方法，其特征在于，还包括：

接收镜像的DNS查询报文；

解析DNS查询报文中的DNS查询报文信息以获取请求查询的源IP，将所获取的请求查询的源IP与所述指定目的IP进行比对，如果比对成功，

则进一步获取域名，并且对单位时间内指定域名的访问量进行统计以获取该指定域名的访问量统计值，或者

则进一步获取递归查询标志、EDNS标志、DNSSEC标志、启用COOKIE标志中的至少一种，并且对所对应的递归查询、支持EDNS的查询、支持DNSSEC的查询、启用COOKIE的查询中的至少一种在单位时间内的查询量进行统计以获取对应的递归查询的查询量统计值、支持EDNS的查询的查询量统计值、支持DNSSEC的查询的查询量统计值、启用COOKIE的查询的查询量统计值；以及

将所述访问量统计值提供给DNS服务运维人员，或者，将所获取的对应的递归查询的查询量统计值、支持EDNS的查询的查询量统计值、支持DNSSEC的查询的查询量统计值、启用COOKIE的查询的查询量统计值提供给DNS服务运维人员。

5.一种域名系统攻击检测装置，其特征在于，包括：

DNS应答报文接收模块，用于接收镜像的DNS应答报文；

DNS应答报文解析和统计模块，用于解析DNS应答报文中的DNS应答报文信息并进行数值统计，得到统计数值；以及

攻击告警模块，用于在所述统计数值超过该统计数值所对应的设定阈值时发出攻击告警。

6.根据权利要求5所述的攻击检测装置，其特征在于，解析DNS应答报文中的DNS应答报文信息并进行数值统计，得到统计数值的步骤包括：

提取DNS应答报文中的目的IP，对其报文大小进行统计，并根据所统计的报文大小，对指定目的IP的DNS响应带宽进行计算，以获取该指定目的IP的应答报文的带宽统计数值，

其中，该带宽统计数值所对应的所述设定阈值是应答报文的带宽阈值。

7.根据权利要求5所述的攻击检测装置，其特征在于，解析DNS应答报文中的DNS应答报文信息并进行数值统计，得到统计数值的步骤包括：

提取DNS应答报文中的目的IP及ANY标志位，如果为ANY应答包，统计指定目的IP收到的DNS ANY响应报文数量，以获取该指定目的IP的ANY应答报文的数量值，作为数量统计数值，

其中，该数量统计数值所对应的所述设定阈值是ANY应答报文的数量阈值。