[发明专利]基于层次分析法的DNS服务器DDoS攻击防御方法

说明书

本发明公开了一种基于层次分析法的DNS服务器DDoS攻击防御方法，包括以下步骤：S1、收集DNS服务器所在网络中的DNS应答报文数据；S2、评估应答报文数据的价值，根据评估的价值为每个应答报文数据分类；S3、对当前DNS服务器状况进行检测，如果没有受到攻击则执行步骤S5，如果受到攻击且出口带宽拥挤或者系统资源饱和，则执行步骤S4；S4、按照应答报文数据价值的高低，对应答价值低的流量数据设定限速阈值，超过限速阈值则丢弃应答价值低的报文数据，然后执行步骤S5；S5、取出应答价值高的报文数据优先应答；本发明能更加有效的防御DDoS攻击，提高了DNS服务质量。

技术领域

本发明涉及DDoS攻击防御技术领域，特别是一种基于层次分析法的DNS服务器DDoS攻击防御方法。

背景技术

DDoS反射放大攻击是最为常见的DDoS攻击，攻击者利用DNS或NTP等协议的漏洞，以DNS服务器作为攻击流量的反射放大器，将流量放大后再反射到目标主机，导致其无法提供正常服务。现有技术中，通常DDoS防御手段有如下两类：一是在DNS服务器入口进行防御，通常是部署DNS专用防火墙，通过分析DDoS攻击流量特征，对放大后的攻击流量进行过滤、清洗，这种防御措施虽然能够有效避免目标主机的入口带宽受到攻击，但是如果攻击者针对DNS服务器的出口带宽进行攻击，由于在入口端攻击流量小、特征不明显，因此防御效果较差；二是在DNS服务器出口进行防御，对DNS应答流量进行限速。限速方案一般是基于源IP对流量进行区分，利用解析软件BIND基于RRL(Response Rate Limiting)策略对NXDOMAIN、NODATA等特定类型应答报文进行限速控制，这种方式在攻击流量源IP都伪装为目标主机IP的情况下，能够有效的减少反射流量，但如果DNS服务器是直接攻击目标时，攻击者很容易通过伪造大量不同的源IP地址而造成限速机制失效，另一缺点就是如果基于源IP进行限速或丢包处理，可能会造成误判，影响正常用户的DNS查询。

发明内容

为解决现有技术中存在的问题，本发明的目的是提供一种基于层次分析法的DNS服务器DDoS攻击防御方法，本发明采用了从不同的角度对DNS应答报文特征进行了分析，建立应答报文价值评估算法，在DNS服务出现出口带宽拥挤或者系统资源饱和的情况下，对高价值报文优先应答机制，解决了现有技术在DNS服务器受到DDoS攻击时，无法进行全面、有效的防御攻击，导致DNS服务器正常功能受影响或者沦为攻击流量的反射放大器的缺陷。

为实现上述目的，本发明采用的技术方案是：一种基于层次分析法的DNS服务器DDoS攻击防御方法，包括以下步骤：

S1、收集DNS服务器所在网络中的DNS应答报文数据；

S2、评估应答报文数据的价值，根据评估的价值为每个应答报文数据分类；

S3、对当前DNS服务器状况进行检测，如果没有受到攻击则执行步骤S5，如果受到攻击且出口带宽拥挤或者系统资源饱和，则执行步骤S4；

S4、按照应答报文数据价值的高低，对应答价值低的流量数据设定限速阈值，超过限速阈值则丢弃应答价值低的报文数据，然后执行步骤S5；

S5、取出应答价值高的报文数据优先应答。

作为一种优选的实施方式，所述步骤S2具体包括以下步骤：

S21、将评估报文价值分解成四个影响因素：DNS响应报文类型、带宽成本、计算成本和系统资源成本；

S22、通过对影响因素进行两两对比重要程度，设计判断矩阵，求解矩阵特征向量，计算该影响因素的优先权重w_i；

S23、设计应答报文价值得分标准，归一化计算应答报文各项影响因素评分v_i；

S24、将应答报文各项影响因素评分以及其权重加权求和，计算得到该报文的最终价值，计算公式如下：