CN102325132B - 一种系统层安全dns防护方法 - Google Patents

Abstract

本发明提出一种系统层安全DNS防护方法，包括如下步骤：执行强制运行控制模块、强制能力控制模块、强制访问控制模块；通过所述强制运行控制模块设定DNS服务进程不能运行根目录下的任何程序；通过所述强制能力控制模块设定DNS服务进程以普通用户运行，只赋予绑定53端口的权限；通过所述强制访问控制模块设定除域名服务管理员之外的其他用户对DNS服务进程仅具有可读权限。通过四权分立的系统管理，可以有效维护DNS服务器，减少管理方面的安全隐患。

Description

一种系统层安全DNS防护方法

技术领域

本发明涉及一种系统层安全DNS防护方法。

背景技术

DNS(Domain Name System、域名系统)是因特网的一项重要服务，由域名解析服务软件和分布式数据库组成，分布式数据库用于保存域名与IP地址间的映射关系，从而，使得用户不需要记住能够被服务器直接识别、处理的IP地址，更加方便地以域名的方式访问互联网资源，作为因特网一个重要的组成部分，DNS一旦出现问题，将会导致诸多因特网服务的不可获得。DNS是因特网的基础，对DNS的攻击将对整个因特网造成严重影响，DNS面临的安全问题主要包括DNS欺骗、拒绝服务攻击、分布式拒绝服务攻击以及缓冲区漏洞溢出攻击。参考资料之一：刘冰、胡风华《基于DNS攻击的安全防范策略研究》，电脑知识与技术，2009，5(11)；参考资料之二：黎成《网络DNS欺骗攻击的检测及防护》，电脑知识与技术，2010，06(24)。

如下对DNS面临的安全问题作进一步详述：

1、DNS欺骗

DNS欺骗即域名信息欺骗，是最常见的DNS安全问题之一。当一个DNS服务器掉入陷阱，使用了来自一个恶意DNS服务器的错误信息，那么，该DNS服务器就被欺骗了。DNS欺骗会使那些易受攻击的DNS服务器产生许多安全问题，例如：将用户引导到错误的互联网站点，或者发送一个电子邮件到一个未经授权的邮件服务器。网络攻击者通常通过三种方法进行DNS欺骗。

DNS欺骗主要包括如下三个方面：

(1)缓存感染

攻击者通过DNS请求将数据植入不设防的DNS服务器的缓存。并在用户进行DNS访问时返回用户，并将用户引导至有木马运行的Web服务器或者邮件服务器，导致用户信息被盗取或丢失。

(2)DNS信息劫持

攻击者通过监听用户与DNS服务器的对话，获取服务器响应给用户的DNS查询ID(每个DNS报文包括一个相关联的16位ID号，DNS服务器根据这个ID号获取请求源位置)，并在DNS服务器发出响应前将虚假的响应交给用户，该响应中包含恶意网站的ID，以此欺骗用户访问恶意网站，导致用户信息被盗取或丢失。

(3)DNS复位定向

攻击者将DNS名称查询复位向到恶意DNS服务器。这样攻击者可以获得DNS服务器的权限，使服务器的安全受到威胁。

2、拒绝服务攻击

攻击者主要利用一些DNS软件的漏洞，如BIND 9版本(版本9.2.0以前的9系列)，如果有人向运行BIND设备发送特定的DNS数据包请求，BIND就会自动关闭。攻击者只能使BIND关闭，而无法在服务器上执行命令。如果得不到DNS服务，那么就会产生一场灾难：由于网址不能解析为IP地址，用户将无方访问互联网。这样，DNS产生的问题就好像互联网本身所产生的问题，将导致大量的混乱。

3、分布式拒绝服务攻击

攻击者通过僵尸网络利用各种服务请求耗尽被攻击网络的系统资源，造成被攻击网络无法处理合法用户的请求。

4、缓冲区漏洞

域名服务软件可能存在漏洞，一旦被网黑客利用，可获得域名服务器的控制权。黑客可任意修改授权区域内的域名指向，将网络服务导引至恶意地址。另外，黑客可窃取整个授权区域内的主机信息，判断主机功能及安全性，从中发现目标进行攻击，称为发起内部攻击的跳板。

现有技术中，为应对DNS安全问题，其解决方案主要在应用层，包括以下几种：

(1)完善网络拓扑

对于DNS体系的单点故障，为了减少单点故障的威胁，同时，也为了减轻DNS服务器的负担，负责一个子域的DNS服务器一般不止一台。从网络拓扑结构角度应该把这些服务器放置于无旁路环境下，具体来说，就是不应当将DNS服务器放置于同一子网、同一链路、同一路由器、同一自治域甚至是同一物理位置。这样，单点的网络故障或许可以由其他网络中的同样功能的DNS服务器来消除，增加了系统的健壮性。另外，DNS系统网络拓扑的完善，也能在一定程度上缓解DOS攻击所带来的危害。

(2)防火墙保护

通过配置防火墙，将域名空间分割为内部域和外部域，使得内、外DNS服务器隔离。内部DNS服务器只需要负责内部网络的域名解析，外部DNS服务器负责外部用户的正常查询，兼顾处理内部网络服务器提交的请求。这样可以避免由于双向DNS数据不加限制地穿梭防火墙带来的安全风险。

在防火墙中，内部用户可以使用私有地址和递归查询内部域名，若查询无法解析，则将查询转发给外部DNS服务器处理；外部DNS服务器只包含对外公开的区数据。这样，整体DNS服务器在互联网上的暴露程度能够实现最小化。

(3)限制区域传送功能

限制区域文件传送功能，可以一定程度上防止攻击者通过正常的查询命令，获取到DNS服务器拓扑的详细信息。但是即使封锁整个区传送也不能从根本上解决问题，因为攻击者可以利用DNS工具自动查询域名空间中的每一个ID地址，查到某些IP地址没有分配，攻击者就可以利用这些IP地址来伪装成一台请求区传送的主机，获取详细信息。

(4)使用新版本的DNS服务器软件

使用新版本的DNS服务器软件(如BIND)可以有效地防止以往DNS软件所存在的安全漏洞。目前BIND正以较快的速度不断添加新的功能，像BIND 4与BIND 8存在的非随机端口风险已经在新版本中得到修正。但是，随着新漏洞的发现，最新的版本也将称为不安全的版本。因此，用户需及时更新以保证软件版本的最新安全性。

(5)使用功能完全的防火墙

使用防火墙，可以减少一些可能的DNS安全风险。比如如果防火墙能够针对局域网的arp欺骗做出应对行为，那么基于arp欺骗基础上的狭义DNS Ip伪造攻击就不能成功。此外，防火墙也可以保护系统权限不被撺掇，防止发生域劫持等攻击行为。

(6)配置DNS负载均衡

DNS负载均衡技术是在DNS服务器中为同一个主机名配置多个IP地址，在应答DNS查询时，将以DNS文件中主机记录的IP地址按顺序返回不同的解析结果，从而将用户端的访问引导到不同的机器上去，达到负载均衡的目的。

(7)配置TSIG

从BIND8.2版本开始使用了一种保护DNS消息的信机制，称为TSIG(transaction sigature、事务签名)。TSIG使用共享金钥及单向杂凑函式来提供讯息的验证和数据的完整性。主要针对区带传输进行保护的作用，利用密码学编码方式为通讯传输信息加密以保证DNS讯息的安全，特别是响应与更新的讯息数据。在DNS服务器之间进行辖区传送时所提供的保护机制，以确保传输数据不被窃取及监听。

(8)配置DNSSEC

DNSSEC(Domain Name System Security Extensions、DNS安全扩展)，是由IETF(The Internet Engineering Task Force、互联网工程任务组)提供的一系列DNS安全认证的机制(参考RFC2535)。它提供了一种来源鉴定和数据完整性的扩展，但不去保障可用性、加密性和证实域名不存在。DNSSEC主要依靠公钥技术对包含在DNS中的信息创建密码签名。密码签名通过计算出一个密码hash数来提供DNS中数据的完整性，并将该hash数封装进行保护。私/公钥对中的私钥用来封装hash数，然后可以用公钥把hash数译出来。如果这个译出的hash值匹配接收者刚刚计算出来的hash树，那么表明数据是完整的。不管译出来的hash数和计算出来的hash数是否匹配，对于密码签名这种认证方式都是绝对正确的，因为公钥仅仅用于解密合法的hash数，所以只有拥有私钥的拥有者可以加密这些信息。

参考资料之一：一种域名解析方法、系统及装置，公开号为CN101431539。

参考资料之二：针对DNS服务的抗DDOS攻击安全网关系统，公开号为CN101572701。

参考资料之三：一种攻击防范方法和装置，公开号为CN101321055。

从系统的攻击流程我们可以看出，传统的系统存在以下缺点：

1)、传统的系统在用户获取访问权限后，可以执行任意代码，而没有对系统的进程作任何的保护和限制。

2)、在传统的系统中，本地执行的程序，为完成特定功能必须以root身份方式运行，这些程序被利用，提升用户权限，进行不该执行的操作，会对系统安全造成巨大破坏。

3)、在传统的系统中，用户对于客体的操作由所有者决定，没有给予严格的安全等级限制，使系统容易遭受到病毒、木马的感染和破坏。

4)、在传统的系统中，root具有超越系统所有限制的特权，一旦超级用户被入侵者利用后，有可能对整个系统造成破坏。超级用户本身的恶意或偶然操作，也可能对系统的安全性造成破坏。

发明内容

本发明提出一种可以有效保证系统层安全DNS防护方法，包括如下步骤：执行强制运行控制模块、强制能力控制模块、强制访问控制模块；通过所述强制运行控制模块设定DNS服务进程不能运行根目录下的任何程序；通过所述强制能力控制模块设定DNS服务进程以普通用户运行，只赋予绑定53端口的权限；通过所述强制访问控制模块设定除域名服务管理员之外的其他用户对DNS服务进程仅具有可读权限。

优选的，“执行强制运行控制模块、强制能力控制模块、强制访问控制模块”具体为：安全管理员配置强制运行控制模块、强制能力控制模块、强制访问控制模块。

优选的，所述DNS服务进程运行过程中，所述强制运行控制模块、所述强制能力控制模块、所述强制访问控制模块由操作系统内核强制加载和实施。

优选的，“通过所述强制运行控制模块设定DNS服务进程不能运行根目录下的任何程序”具体为：安全管理员通过所述强制运行控制模块设定DNS服务进程不能运行根目录下的任何程序。

优选的，“通过所述强制能力控制模块设定DNS服务进程以普通用户运行，只赋予绑定53端口的权限”具体为：安全管理员通过所述强制能力控制模块设定DNS服务进程以普通用户运行，只赋予绑定53端口的权限。

优选的，“通过所述强制访问控制模块设定除域名服务管理员之外的其他用户对DNS服务进程仅具有可读权限”具体为：安全管理员通过所述强制访问控制模块设定除域名服务管理员之外的其他用户对DNS服务进程仅具有可读权限。

相较于现有技术，本发明具有如下有益结果：

通过使DNS服务进程不能运行根目录下的程序使得恶意代码不能被执行，可有效阻止攻击者对DNS服务器的攻击；通过强制能力控制模块设定DNS服务进程以普通用户运行，使得攻击者不能利用DNS服务器提升自己的权限而成为超级用户，进而威胁到整个系统，同时，也不会影响到DNS服务器对外提供服务；通过强制访问控制模块设定除安全管理员之外的其他用户对DNS服务进程仅具有可读权限，可以防止管理员及其它用户篡改区文件记录，进一步保证DNS服务器的安全。

附图说明

下面根据附图和实施例对本发明作进一步详细说明。

图1是本发明一种系统层安全DNS防护方法一个应用场景的流程图；

图2是本发明一种系统层安全DNS防护方法另一个应用场景的流程图。

具体实施方式

实施例1

如图1所示，本发明提出一种系统层安全DNS防护方法，具体包括如下步骤：

S101、执行强制运行控制模块、强制能力控制模块、强制访问控制模块。

将对系统的管理分配给四个用户，具体包括用于系统设备管理的系统管理员、用于系统用户管理安全管理员、用于网络管理的网络管理员、用于审计信息管理的审计管理员。

系统管理员配置强制运行控制模块、强制能力控制模块、强制访问控制模块。

如下对强制运行控制模块、强制能力控制模块、强制访问控制模块功能进行详述：

强制运行控制模块用于保护和监视服务器主体，保证程序主体以恰当的方式对外提供服务，并描述程序能够改变其程序映像的程序名称，一旦程序行为超出范围，即判定该程序进行有害操作，并阻断该程序继续运行。

强制能力控制模块用于消除系统中不受限制的程序，只赋予每个权限程序能够完成其功能的最小能力，实现“最小权限”原则。利用强制能力控制模块对应用程序加以适当改或配置，使系统中不包含超级用户，所有对外提供服务的程序均以普通用户身份运行，消除系统安全隐患，大大提高系统安全性。

强制访问控制模块用于设定用户对文件的访问权限，首先给用户和文件赋予固定的安全属性，决定用户是否能够访问一个文件，由安全管理员或系统根据预设规则确定，用户或者用户程序不能对用户访问文件的权限进行修改。如果安全管理员或者系统认为具有某个安全属性的用户不适于访问某个文件，那么任何人(包括文件的拥有者)都无法使该用户具有访问该文件的权力。

S102、通过强制运行控制模块设定DNS服务进程不能运行根目录下的任何程序。

安全管理员通过强制运行控制模块设定DNS服务进程不能运行根目录下的任何程序。当入侵者想通过DNS对外提供的服务来访问系统时，入侵者不能在根目录下执行任何程序，这样就阻止了入侵者对DNS系统的控制。

S103、通过强制能力控制模块设定DNS服务进程以普通用户运行，只赋予绑定53端口的权限。

现有技术披露，DNS服务进程需要通过53端口为外界提供服务，而绑定1024以下的端口需要具有超级用户的权限，系统为实现其功能，让DNS服务进程以超级用户的权限运行，使得DNS服务进程容易被攻击者利用，进而获取整个系统的访问权限，造成严重的后果。

本发明中，安全管理员通过强制能力控制模块强制设定DNS服务进程以普通用户运行，并强制赋予其绑定53端口的权限。

S104、通过强制访问控制模块设定除域名服务管理员之外的其他用户对DNS服务进程仅具有可读权限。

特定的域名服务管理员对DNS相关配置和数据文件具有可读可写的权限，通过强制访问控制模块设定普通用户对DNS服务进程具有可读的权限。DNS服务进程除域名服务管理员外其他用户只有读的权限，这样可以有效防止区文件等重要文件被恶意篡改，被攻击者利用。

实施例2

如下结合攻击者攻击DNS服务器时，本发明进行应对时其应用场景做进一步说明：

攻击者攻击DNS服务器主要包括如下过程：

S201、安全管理员执行强制运行控制模块，设定DNS服务进程不能运行根目录下的程序。假定强制运行控制模块配置错误，导致功能失效，即使DNS服务进程能够绕过强制运行控制模块，执行任意代码，强制能力控制、强制访问控制和四权分立机制仍能够有效防止入侵者的后续破坏性操作。

攻击者可通过探测作为目标站点的DNS服务器，并获取目标站点的漏洞信息。攻击者需要运行恶意代码以获取对DNS服务器的访问权限，然而，运行恶意代码需要在根目录下执行，执行恶意代码的行为超出设定范围，即判定该DNS服务进程进行有害操作，系统将停止该进程继续运行，并记录所有关于该事件的安全相关信息，入侵失败。

S202、通过强制能力控制模块设定DNS服务进程以普通用户运行，只具有绑定53端口的权限。

现有技术中，绑定1024以下端口需要具备超级用户的权限，DNS服务进程为了实现其功能，总以超级用户的权限运行，有可能使DNS服务进程为恶意进程所利用，恶意进程通过利用DNS服务进程提升用户权限，从而访问整个系统，造成严重的安全后果。

在本发明中，通过强制能力控制模块设定DNS服务进程以普通用户运行，从而避免DNS服务进程被攻击者利用而提升其权限，进而攻击系统，而DNS服务进程也可以通过普通用户运行，并通过绑定的53端口使DNS服务进程对外提供服务。

S203、通过强制访问控制模块设定除域名服务管理员之外的其他用户对DNS服务进程仅具有可读权限。

用户与文件都有固定的安全属性，安全属性决定用户是否具有访问某个文件的权限，通过强制访问控制模块设定除安全管理员之外的其他用户对DNS服务进程仅具有可读权限，攻击者即使得到系统的操作权，也不属于DNS服务文件设定访问权限范围内，也无法获得对DNS服务文件的控制权限。

S204、阻止除审计管理员外的任何用户清除日志和销毁记录。

攻击者入侵完成，都会抹除恶意攻击的痕迹，删除或修改系统和应用程序日志中的数据，在此，本发明将阻止除审计管理员外的任何用户清除日志和销毁记录，对于以上入侵失败的任何一步操作，系统将记录事件的相关安全信息，为追踪入侵者提供依据。

Claims (6)

1.一种系统层安全DNS防护方法，其特征在于，包括如下步骤：

执行强制运行控制模块、强制能力控制模块、强制访问控制模块；

通过所述强制运行控制模块设定DNS服务进程不能运行根目录下的任何程序；

通过所述强制能力控制模块设定DNS服务进程以普通用户运行，只赋予绑定53端口的权限；

通过所述强制访问控制模块设定除域名服务管理员之外的其他用户对DNS服务进程仅具有可读权限；强制访问控制模块用于设定用户对文件的访问权限，首先给用户和文件赋予固定的安全属性，决定用户是否能够访问一个文件，由安全管理员或系统根据预设规则确定，用户或者用户程序不能对用户访问文件的权限进行修改；如果安全管理员或者系统认为具有某个安全属性的用户不适于访问某个文件，那么任何人都无法使该用户具有访问该文件的权力。

2.如权利要求1所述的方法，其特征在于，“执行强制运行控制模块、强制能力控制模块、强制访问控制模块”具体为：

安全管理员配置强制运行控制模块、强制能力控制模块、强制访问控制模块。

3.如权利要求1所述的方法，其特征在于，所述DNS服务进程运行过程中，所述强制运行控制模块、所述强制能力控制模块、所述强制访问控制模块由操作系统内核强制加载和实施。

4.如权利要求1所述的方法，其特征在于，“通过所述强制运行控制模块设定DNS服务进程不能运行根目录下的任何程序”具体为：

安全管理员通过所述强制运行控制模块设定DNS服务进程不能运行根目录下的任何程序。

5.如权利要求1所述的方法，其特征在于，“通过所述强制能力控制模块设定DNS服务进程以普通用户运行，只赋予绑定53端口的权限”具体为：

安全管理员通过所述强制能力控制模块设定DNS服务进程以普通用户运行，只赋予绑定53端口的权限。

6.如权利要求1所述的方法，其特征在于，“通过所述强制访问控制模块设定除域名服务管理员之外的其他用户对DNS服务进程仅具有可读权限”具体为：

安全管理员通过所述强制访问控制模块设定除域名服务管理员之外的其他用户对DNS服务进程仅具有可读权限。