CN103391272B - 检测虚假攻击源的方法及系统 - Google Patents

Abstract

检测虚假攻击源的方法及系统，该方法包括：拦截接收缓存域名服务器向权威域名服务器发送的第一域名查询请求信息；根据第一域名查询请求信息的源IP地址、目的IP地址确定第一cookie值，根据第一cookie值生成虚拟权威域名服务器域名信息后向缓存域名服务器返回；拦截接收缓存域名服务器向权威域名服务器发送的第二域名查询请求信息；根据所述第二域名查询请求信息的源IP地址、目的IP地址确定第二cookie值，并对该第二cookie值与第二域名查询请求信息中所携带的第一cookie值进行比较。本发明实现了对虚假攻击源的准确识别，可以有效地保护权威域名服务器不受虚假IP源的攻击，保证权威域名服务器的正常工作，且不会影响正常的域名查询请求。

Description

检测虚假攻击源的方法及系统

技术领域

本发明涉及互联网安全技术领域，特别涉及一种检测虚假攻击源的方法以及一种检测虚假攻击源的系统。

背景技术

DNS(DomainNameSystem，域名服务系统)是互联网的重要基础设施，其完成从域名到IP地址的映射功能，其中，权威域名服务器是指提供权威名字解析的域名服务器。目前针对DNS服务器的一种常见攻击方式是虚假源泛洪攻击，虚假源泛洪攻击是指假冒IP地址对DNS服务器发起大量域名查询请求，使其负载远远超过DNS服务器的承受能力，从而导致DNS服务器无法正常提供服务，影响网络可用性。现有技术中针对权威域名服务器的虚假攻击源进行检测时，所采用的架构如图1所示，缓存域名服务器发出的域名查询请求会通过核心交换机转发给防护设备，防护设备向缓存域名服务器返回的查询响应中将TC(Truncate，截断)标志置位，从而将基于UDP协议(UserDatagramProtocol，用户数据包协议，是一种无连接的传输层通信协议)的域名查询请求强制转换为基于TCP协议(TransmissionControlProtocol，传输控制协议，是一种面向连接的、可靠的、基于字节流的运输层通信协议)的请求，然后利用TCP协议基于连接的特性，对源IP地址的真实性进行验证，在通过验证后，将该源IP地址加入白名单表，同一源IP地址再次查询时，防护设备查询白名单表，将查询请求直接经由核心交换机转发给被保护的权威域名服务器。

现有技术中的这种方式，是将基于UDP协议的请求强制转换为基于TCP协议的请求，然而，现有大部分的缓存域名服务器的现网环境并不支持基于TCP协议的查询，导致其无法通过认证，无法得到域名的查询结果，影响了用户的使用体验。另一方面，应用现有技术中的这种方式，要求被保护的权威域名服务器必须支持基于TCP协议的查询，部分没有支持基于TCP协议进行查询的被保护的权威域名服务器需要升级后才能实施，对方案的实施造成不便。

发明内容

针对上述现有技术中存在的问题，本发明的其中一个目的在于提供一种检测虚假攻击源的方法，另一目的在于提供一种检测虚假攻击源的系统，其可以有效地保护权威域名服务器不受虚假IP源的攻击，保证权威域名服务器的正常工作，且不会影响正常的域名查询请求。

为达到上述目的，本发明采用以下技术方案：

一种检测虚假攻击源的方法，包括步骤：

拦截接收缓存域名服务器向权威域名服务器发送的第一域名查询请求信息，该第一域名查询请求信息中包括目的域名信息；

根据所述第一域名查询请求信息的源IP地址和目的IP地址确定第一cookie值，根据第一cookie值生成虚拟权威域名服务器域名信息后向缓存域名服务器返回；

拦截接收缓存域名服务器向权威域名服务器发送的第二域名查询请求信息，该第二域名查询请求信息中包括所述虚拟权威域名服务器域名信息；

根据所述第二域名查询请求信息的源IP地址和目的IP地址确定第二cookie值，并对该第二cookie值与第二域名查询请求信息中所携带的第一cookie值进行比较。

一种检测虚假攻击源的系统，包括：

信息接收模块，用于拦截接收向被保护的权威域名服务器发送的域名查询请求信息，该域名查询请求信息包括第一域名查询请求信息和第二域名查询请求信息，第一域名查询请求信息中包括目的域名信息，第二域名查询请求信息中包括虚拟权威域名服务器域名信息；

cookie值确定模块，用于根据所述域名查询请求信息的源IP地址和目的IP地址确定cookie值；

虚拟域名信息生成模块，用于根据第一cookie值生成虚拟权威域名服务器域名信息，并将该虚拟权威域名服务器域名信息向缓存域名服务器返回，所述第一cookie值由cookie值确定模块根据第一域名查询请求信息的源IP地址和目的IP地址确定；

cookie值比较模块，用于对第二cookie值与第二域名查询请求信息中所携带的第一cookie值进行比较，所述第二cookie值由cookie值确定模块根据第二域名查询请求信息的源IP地址和目的IP地址确定。

根据上述本发明方案，是在接收到域名查询请求信息后，根据该域名查询请求信息确定第一cookie值，并依据该第一cookie值生成虚拟权威域名服务器域名信息，在接收基于该虚拟权威域名服务器域名信息的域名查询请求信息后，确定该域名查询请求信息的第二cookie值，并对两次接收的域名查询请求的cookie值进行比较，若二者不相同，则可以确定是虚假攻击源，实现了对虚假攻击源的准确识别，可以有效地保护权威域名服务器不受虚假IP源的攻击，保证权威域名服务器的正常工作，且不会影响正常的域名查询请求。

附图说明

图1是对虚假攻击源进行检测的系统架构示意图；

图2是本发明的检测虚假攻击源的方法实施例的流程示意图；

图3是本发明的检测虚假攻击源的方法的一个具体工作时序的流程示意图；

图4是本发明的检测虚假攻击源的系统实施例的结构示意图。

具体实施方式

以下结合其中的较佳实施方式对本发明方案进行详细阐述。

图2中示出了本发明的检测虚假攻击源的方法实施例的流程示意图。在该实施例中，是结合了在判定两个cookie值相同后的进一步操作处理过程为例进行说明，本领域技术人员可以知晓的是，在只需要识别判断出是否为虚假攻击源的情况下，只需要对两次cookie值进行判定即可，因此，下述该实施例中的说明并不用以对本发明方案构成限定。

如图2所示，本实施例中的方法包括步骤：

步骤S201：拦截接收向被保护的权威域名服务器发送的第一域名查询请求信息，该第一域名查询请求信息中包括目的域名信息，进入步骤S202；

步骤S202：根据上述第一域名查询请求信息的源IP地址、目的IP地址确定第一cookie值，根据第一cookie值生成虚拟权威域名服务器域名信息后向缓存域名服务器返回，进入步骤S203；

步骤S203：拦截接收缓存域名服务器向被保护的权威域名服务器发送的第二域名查询请求信息，该第二域名查询请求信息中包括上述虚拟权威域名服务器域名信息，进入步骤S204；

步骤S204：根据上述第二域名查询请求信息的源IP地址、目的IP地址确定第二cookie值，并比较判定该第二cookie值与第二域名查询请求信息中所携带的第一cookie值是否相同，并在相同时，进入步骤S205；

步骤S205：将该缓存域名服务器的IP地址加入白名单，并向缓存域名服务器返回所述目的域名信息，进入步骤S206；

步骤S206：接收缓存域名服务器向被保护的权威域名服务器发送的第三域名查询请求信息，该第三域名查询请求信息中包括上述目的域名信息，检查判断该缓存域名服务器的IP地址是否位于白名单中，若是，将该第三域名查询请求转发给被保护的权威域名服务器。

如上所示的本实施例中的方案，是在接收到域名查询请求信息后，根据该域名查询请求信息确定第一cookie值，并依据该第一cookie值生成虚拟权威域名服务器域名信息，在接收基于该虚拟权威域名服务器域名信息的域名查询请求信息后，确定该域名查询请求信息的第二cookie值，并判断两次接收的域名查询请求的cookie值是否相同，若相同，则可以确定两次域名查询请求都是来自于同一个源IP地址，不是虚假攻击源，向缓存域名服务器返回目的域名信息后由缓存域名服务器重新发起域名查询请求信息，并将该域名查询请求信息转发给被保护的权威域名服务器，若不相同，则可以确定是虚假攻击源，实现了对虚假攻击源的准确识别，可以有效地保护权威域名服务器不受虚假IP源的攻击，保证权威域名服务器的正常工作，且不会影响正常的查询请求。

其中，在上述步骤S201中接收到第一域名查询请求信息后，可以先对白名单中是否包含该缓存域名服务器的IP地址进行判断，即还包括步骤：判断该缓存域名服务器的IP地址是否位于白名单中，若没有位于白名单中，则进入上述步骤S202的确定第一cookie值的步骤，若位于白名单中，则可直接将该第一域名查询请求信息转发给被保护的权威域名服务器，不用执行后续的过程。

这是因为，一般情况下，缓存域名服务器需要发出域名查询请求信息，是因为该缓存域名服务器中没有该目的域名信息与相应IP地址的缓存记录，这可能是因为该缓存域名服务器没有访问过被保护的权威域名服务器来查询该目的域名信息的IP地址，也可能是因为出于某些原因将原有的记录做了清除，而在这种情况下，有可能在白名单中有该缓存域名服务器的记录，经过该比较判断步骤，若已经记录在白名单中，则可以无需执行后续的处理过程，提高了效率。

在一个实施例中，在向缓存域名服务器返回虚拟权威域名服务器域名信息时，可以同时将该虚拟权威域名服务器域名信息的生存时间设置为0，强制缓存域名服务器不将该虚拟权威域名服务器域名信息放入缓存，避免了可能因为缓存时间所可能导致的混淆情况。

在确定cookie值时，可以采用现有技术中各种可能的方式来确定cookie值，例如利用hash函数等等，具体的确定方式在此不予赘述。

另外，在生成虚拟权威域名服务器域名信息时，可以采用各种可能的方式进行，只要能够在虚拟权威域名服务器域名信息中包含有上述第一cookie值即可，在其中一个具体示例中，可以通过用第一cookie值替换所述目的域名信息中的www的方式来生成。

上述本发明的方法在具体实施时，可以结合图1中所示的架构进行实施。据此，图3中示出了本发明的方法结合图1所示架构时一个具体工作时序的流程示意图，图3所示中，是以用第一cookie值替换目的域名信息中的www的方式来生成虚拟权威域名服务器域名信息、被保护的权威域名服务器为权威域名服务器A、且防护设备的白名单中没有该缓存域名服务器的IP地址为例进行说明，这种说明并不用以对本发明的保护范围进行限定。此外，需要注意的是，在图3所示中，是以srcip表示源IP地址，dstip表示目的IP地址，cookie＝hash(srcip，dstip)表示根据源IP地址和目的IP地址计算出cookie值进行说明。

如图3所示，在该具体示例的工作时序中，具体的时序工作过程可以是如下所述：

(1)用户需要访问网址www.qq.com，其计算机向缓存域名服务器查询www.qq.com的IP地址；

(2)缓存域名服务器接收到用户的计算机发送过来的请求后，判断是否有该网址www.qq.com对应的IP地址的缓存记录，若发现无此缓存记录，向www.qq.com的权威域名服务器查询www.qq.com的IP地址，即发送第一域名信息查询请求；

(3)防护设备拦截到缓存域名服务器向权威域名服务器发送的该第一域名信息查询请求，根据该第一域名查询请求的请求包的源IP地址、目的IP地址，利用hash函数确定出cookie值(即第一cookie值)，代权威域名服务器向缓存域名服务器返回查询结果，并在返回的查询结果中根据DNS协议规范将域名www.qq.com的权威服务器设置为cookie.qq.com，生存时间为0，强制缓存域名服务器不将该结果放入缓存；

(4)缓存域名服务器接收到防护设备返回的查询结果后，根据DNS协议规范要求，向权威域名服务器查询cookie.qq.com的IP地址，即发送第二域名信息查询请求；

(5)防护设备拦截接收到缓存域名服务器向权威域名服务器发送的该第二域名信息查询请求，根据该第二域名查询请求的请求包的源IP地址、目的IP地址，使用hash函数确定出cookie值(即第二cookie值)，并将该得到的cookie值与第二域名请求信息查询请求的请求域名中所带的cookie值(即cookie.qq.com中的cookie值)进行比较，判断二者是否相同，若二者相同，则说明两次请求都是来自于同一个缓存域名服务器，将该缓存域名服务器的IP地址加入白名单，并将cookie.qq.com的IP地址设置为权威域名服务器的IP地址返回给缓存域名服务器；

(6)缓存域名服务器接收得到权威域名服务器的IP地址后，再次发送www.qq.com的查询请求，即发送第三域名信息查询请求；

(7)防护设备拦截接收到缓存域名服务器向权威域名服务器发送的该第三域名信息查询请求，检查白名单，发现该缓存域名服务器的IP地址在白名单中，将该请求转发给权威域名服务器；

(8)权威域名服务器接收到该请求后，向缓存域名服务器返回www.qq.com的IP地址。

根据如上所述的本发明的检测虚假攻击源的方法，本发明还提供一种检测虚假攻击源的系统。图4中示出了本发明的检测虚假攻击源的系统实施例的结构示意图。

如图4所示，本实施例中的检测虚假攻击源的系统包括有：

信息接收模块401，用于拦截接收向被保护的权威域名服务器发送的域名查询请求信息，该域名查询请求信息包括第一域名查询请求信息、第二域名查询请求信息，该第一域名查询请求信息中包括目的域名信息，第二域名查询请求信息中包括虚拟权威域名服务器域名信息；

cookie值确定模块402，用于根据所述域名查询请求信息的源IP地址、目的IP地址确定cookie值；

虚拟域名信息生成模块403，用于根据第一cookie值生成虚拟权威域名服务器域名信息，并将该虚拟权威域名服务器域名信息向缓存域名服务器返回，其中，该第一cookie值由cookie值确定模块根据第一域名查询请求信息确定；

cookie值比较模块404，用于对第二cookie值与第二域名查询请求信息中所携带的第一cookie值进行比较，其中，该第二cookie值由cookie值确定模块根据第二域名查询请求信息确定。

其中，上述cookie值比较模块404，还可以在判定第二cookie值与第一cookie值相同时，将该缓存域名服务器的IP地址加入白名单，并向缓存域名服务器返回所述目的域名信息。

此外，如图4所示，本发明的检测虚假攻击源的系统还可以包括有：判断模块405，用于在信息收发模块401接收到第一域名查询请求信息时，检查判断该缓存域名服务器的IP地址是否位于白名单中，若是，将该第一域名查询请求转发给被保护的权威域名服务器。

在另外一个实施例中，上述判断模块405可以是在上述建立了白名单之后再进一步对接收到的域名查询请求信息进行判断，即上述本发明的检测虚假攻击源的系统，还可以包括有判断模块405，用于接收缓存域名服务器向权威域名服务器发送的第三域名查询请求信息，该第三域名查询请求信息中包括目的域名信息，检查判断该缓存域名服务器的IP地址是否位于白名单中，若是，将该第三域名查询请求转发给被保护的权威域名服务器。

其中，上述虚拟域名信息生成模块403在向缓存域名服务器返回虚拟权威域名服务器域名信息时，将该虚拟权威域名服务器域名信息的生存时间设置为0，强制缓存域名服务器不将该虚拟权威域名服务器域名信息放入缓存，避免了可能因为缓存时间所可能导致的混淆情况。

此外，cookie值确定模块402在确定cookie值时，可以采用现有技术中各种可能的方式来确定cookie值，例如利用hash函数等等，具体的确定方式在此不予赘述。

另外，虚拟域名信息生成模块403在生成虚拟权威域名服务器域名信息时，可以采用各种可能的方式进行，只要能够在虚拟权威域名服务器域名信息中包含有上述第一cookie值即可，在其中一个具体示例中，可以通过用第一cookie值替换所述目的域名信息中的www的方式来生成。

上述本发明的检测虚假攻击源的系统，可以设置在图1所示架构的防护设备中。在具体实施时，可以结合图1中所示的架构进行实施。

以用第一cookie值替换目的域名信息中的www的方式来生成虚拟权威域名服务器域名信息为例，本发明系统结合图1所示的架构在具体实施时，具体的时序工作过程可以是如下所述：

(1)用户需要访问网址www.qq.com，其计算机向缓存域名服务器查询www.qq.com的IP地址；

(2)缓存域名服务器接收到用户的计算机发送过来的请求后，判断是否有该网址www.qq.com对应的IP地址的缓存记录，若发现无此缓存记录，向www.qq.com的权威域名服务器查询www.qq.com的IP地址，即发送第一域名信息查询请求；

(3)防护设备的信息接收模块401拦截到缓存域名服务器向权威域名服务器发送的该第一域名信息查询请求，判断模块405检查白名单，发现该缓存域名服务器的IP地址不在白名单中，由cookie值确定模块402根据该第一域名查询请求的请求包的源IP地址、目的IP地址，利用hash函数确定出cookie值，并由虚拟域名信息生成模块403根据DNS协议规范将域名www.qq.com的权威服务器设置为cookie.qq.com，生存时间为0，强制缓存域名服务器不将该结果放入缓存，并将该cookie.qq.com作为查询结果代权威域名服务器向缓存域名服务器返回；

(4)缓存域名服务器接收到防护设备返回的查询结果后，根据DNS协议规范要求，向权威域名服务器查询cookie.qq.com的IP地址；

(5)防护设备的信息接收模块401拦截接收到缓存域名服务器向权威域名服务器发送的该第二域名信息查询请求，由cookie值确定模块402根据该第二域名查询请求的请求包的源IP地址、目的IP地址，使用hash函数确定出cookie值，cookie值比较模块404将该cookie值与第二域名请求信息查询请求的请求域名中所带的cookie值(即cookie.qq.com中的cookie值)进行比较，判断二者是否相同，若二者相同，则说明两次请求都是来自于同一个缓存域名服务器，将该缓存域名服务器的IP地址加入白名单，并将cookie.qq.com的IP地址设置为权威域名服务器的IP地址返回给缓存域名服务器；

(6)缓存域名服务器接收得到权威域名服务器的IP地址后，再次发送www.qq.com的查询请求，即发送第三域名信息查询请求；

(7)防护设备的信息接收模块401,拦截接收到缓存域名服务器向权威域名服务器发送的该第三域名信息查询请求，判断模块405检查白名单，发现该缓存域名服务器的IP地址在白名单中，将该请求转发给权威域名服务器；

(8)权威域名服务器接收到该请求后，向缓存域名服务器返回www.qq.com的IP地址。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种检测虚假攻击源的方法，其特征在于，包括步骤：

拦截接收缓存域名服务器向权威域名服务器发送的第一域名查询请求信息，该第一域名查询请求信息中包括目的域名信息；

根据所述第一域名查询请求信息的源IP地址和目的IP地址确定第一cookie值，根据第一cookie值生成虚拟权威域名服务器域名信息后向缓存域名服务器返回；

拦截接收缓存域名服务器向权威域名服务器发送的第二域名查询请求信息，该第二域名查询请求信息中包括所述虚拟权威域名服务器域名信息；

根据所述第二域名查询请求信息的源IP地址和目的IP地址确定第二cookie值，并对该第二cookie值与第二域名查询请求信息中所携带的第一cookie值进行比较。

2.根据权利要求1所述的检测虚假攻击源的方法，其特征在于：

若该第二cookie值与第一cookie值经比较判定相同，将该缓存域名服务器的IP地址加入白名单，并向缓存域名服务器返回所述目的域名信息。

3.根据权利要求2所述的检测虚假攻击源的方法，其特征在于：

接收缓存域名服务器向权威域名服务器发送的第三域名查询请求信息，该第三域名查询请求信息中包括目的域名信息，检查判断该缓存域名服务器的IP地址是否位于白名单中，若是，将该第三域名查询请求转发给被保护的权威域名服务器。

4.根据权利要求1所述的检测虚假攻击源的方法，其特征在于，在接收到所述第一域名查询请求信息后，还包括步骤：判断该缓存域名服务器的IP地址是否位于白名单中，若否，进入所述确定第一cookie值的步骤。

5.根据权利要求1至4任意一项所述的检测虚假攻击源的方法，其特征在于：

在向缓存域名服务器返回虚拟权威域名服务器域名信息时，将该虚拟权威域名服务器域名信息的生存时间设置为0；

和/或

通过用该第一cookie值替换所述目的域名信息中的www生成所述虚拟权威域名服务器域名信息；

和/或

采用hash函数确定所述第一cookie值和所述第二cookie值。

6.一种检测虚假攻击源的系统，其特征在于，包括：

信息接收模块，用于拦截接收向被保护的权威域名服务器发送的域名查询请求信息，该域名查询请求信息包括第一域名查询请求信息和第二域名查询请求信息，第一域名查询请求信息中包括目的域名信息，第二域名查询请求信息中包括虚拟权威域名服务器域名信息；

cookie值确定模块，用于根据所述域名查询请求信息的源IP地址和目的IP地址确定cookie值；

虚拟域名信息生成模块，用于根据第一cookie值生成虚拟权威域名服务器域名信息，并将该虚拟权威域名服务器域名信息向缓存域名服务器返回，所述第一cookie值由cookie值确定模块根据第一域名查询请求信息的源IP地址和目的IP地址确定；

cookie值比较模块，用于对第二cookie值与第二域名查询请求信息中所携带的第一cookie值进行比较，所述第二cookie值由cookie值确定模块根据第二域名查询请求信息的源IP地址和目的IP地址确定。

7.根据权利要求6所述的检测虚假攻击源的系统，其特征在于，所述cookie值比较模块，还用于在判定第二cookie值与第一cookie值相同时，将该缓存域名服务器的IP地址加入白名单，并向缓存域名服务器返回所述目的域名信息。

8.根据权利要求7所述的检测虚假攻击源的系统，其特征在于，还包括判断模块，用于接收缓存域名服务器向权威域名服务器发送的第三域名查询请求信息，该第三域名查询请求信息中包括目的域名信息，检查判断该缓存域名服务器的IP地址是否位于白名单中，若是，将该第三域名查询请求转发给被保护的权威域名服务器。

9.根据权利要求6所述的检测虚假攻击源的系统，其特征在于，还包括判断模块，用于在信息接收模块接收到第一域名查询请求信息时，检查判断该缓存域名服务器的IP地址是否位于白名单中，若是，将该第一域名查询请求转发给被保护的权威域名服务器。

10.根据权利要求6至9任意一项所述的检测虚假攻击源的系统，其特征在于：

所述虚拟域名信息生成模块在向缓存域名服务器返回虚拟权威域名服务器域名信息时，将该虚拟权威域名服务器域名信息的生存时间设置为0；

和/或

所述虚拟域名信息生成模块通过用第一cookie值替换所述目的域名信息中的www生成所述虚拟权威域名服务器域名信息；

和/或

所述cookie值确定模块采用hash函数确定cookie值。