CN103957286A - Dns安全系统及其故障处理方法 - Google Patents

Dns安全系统及其故障处理方法 Download PDF

Info

Publication number
CN103957286A
CN103957286A CN201410158695.6A CN201410158695A CN103957286A CN 103957286 A CN103957286 A CN 103957286A CN 201410158695 A CN201410158695 A CN 201410158695A CN 103957286 A CN103957286 A CN 103957286A
Authority
CN
China
Prior art keywords
dns
root node
authorization message
domain name
dns resolution
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201410158695.6A
Other languages
English (en)
Other versions
CN103957286B (zh
Inventor
濮灿
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
SHANGHAI JULIU SOFTWARE TECHNOLOGY Co Ltd
Beijing Qihoo Technology Co Ltd
Qizhi Software Beijing Co Ltd
Original Assignee
SHANGHAI JULIU SOFTWARE TECHNOLOGY Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by SHANGHAI JULIU SOFTWARE TECHNOLOGY Co Ltd filed Critical SHANGHAI JULIU SOFTWARE TECHNOLOGY Co Ltd
Priority to CN201410158695.6A priority Critical patent/CN103957286B/zh
Publication of CN103957286A publication Critical patent/CN103957286A/zh
Priority to US15/305,091 priority patent/US9992156B2/en
Priority to PCT/CN2015/074614 priority patent/WO2015158194A1/zh
Application granted granted Critical
Publication of CN103957286B publication Critical patent/CN103957286B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0654—Management of faults, events, alarms or notifications using network fault recovery
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0677—Localisation of faults
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供了一种DNS安全系统及其故障处理方法。DNS安全系统包括：至少一个客户端，配置为发起DNS请求；根节点，配置为对所述DNS请求提供授权信息；授权信息数据库，配置为存储指定区域的所有DNS请求及对应的授权信息；虚拟根节点，配置为当所述根节点出现DNS解析故障时，从所述授权信息数据库中调用相应授权信息，为对应客户端提供解析服务。采用本发明能够提高DNS解析的安全性和稳定性。

Description

DNS安全系统及其故障处理方法
技术领域
本发明涉及互联网应用领域，特别是涉及一种DNS安全系统，以及应用该DNS安全系统进行故障处理的方法。
背景技术
DNS是域名系统（Domain Name System）的缩写，是因特网（Internet）一项核心服务，它作为可以将域名和IP地址相互映射的一个分布式数据库，能够使人更方便的访问互联网，而不用去记住能够被机器直接读取的IP数串。
Internet主机域名的一般结构为：主机名.三级域名.二级域名.顶级域名。Internet的顶级域名由Internet网络协会域名注册查询负责网络地址分配的委员会进行登记和管理，它还为Internet的每一台主机分配唯一的IP地址。
图1示出了根据背景技术的整体DNS架构的示意图。是一个如下图所示的层次树状结构，这个树状结构称为DNS域名空间，最上面的域名空间被称为”根节点”。参见图1，整个DNS架构形成域名层次空间，从顶级域到某一个子域的路径就构成了一个域名，例如从顶级域.com到它的二级域microsoft，再到microsoft的子域departmentA就构成了一个域名departmentA.microsoft.com。
其中，DNS根服务器是DNS树型域名空间的“根”，负责DNS的解析，对于域名解析起着极其关键的作用。从理论上说，任何形式的标准域名要想被实现解析，按照技术流程，都必须经过全球“层级式”域名解析体系的工作才能完成。
“层级式”域名解析体系第一层就是根服务器，负责管理世界各国的域名信息，在根服务器下面是顶级域名服务器，即相关国家域名管理机构的数据库，如中国的CNNIC，然后再到下一级的域名数据库和ISP（Internet ServiceProvider，因特网服务供应商）的缓存服务器查询。一个域名必须首先经过根数据库的解析后，才能转到顶级域名服务器进行解析。如果DNS根节点不能访问，那么一切的域名解析都会失败。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的DNS安全系统和相应的故障处理的方法。
基于本发明的一个方面，本发明实施例提供了一种DNS安全系统，包括：
至少一个客户端，配置为发起DNS请求；
根节点，配置为对所述DNS请求提供授权信息；
授权信息数据库，配置为存储指定区域的所有DNS请求及对应的授权信息；
虚拟根节点，配置为当所述根节点出现DNS解析故障时，从所述授权信息数据库中调用相应授权信息，为对应客户端提供解析服务。
可选地，所述授权信息包括存储访问量超过访问阈值的DNS解析记录，和/或，重要域名的DNS解析记录。
可选地，所述授权信息数据库，还配置为根据所述授权信息的相互关系，组成域名层次空间。
可选地，所述授权信息数据库为互联网域名层次的镜像。
可选地，所述虚拟根节点还配置为：采用分布式部署，通过BGP方式对所述客户端提供DNS解析服务。
可选地，所述BGP方式包括anycast模式。
可选地，所述虚拟根节点还配置为：在骨干网对所述指定区域的临界区域出口处进行DNS数据报文的监听，以确定是否出现DNS解析故障。
可选地，所述系统还包括：
至少一个递归DNS，配置为在所述根节点出现DNS解析故障时，将本地保存的根节点地址修改为指向所述虚拟根节点的地址；或者，将本地的域名解析发送至所述虚拟根节点。
基于本发明的另一个方面，本发明实施例还提供了一种应用上述任一项所述的DNS安全系统进行故障处理的方法，包括：
获取指定区域的所有DNS请求及对应的授权信息并存储，生成授权信息数据库；
判断根节点是否出现DNS解析故障；
若是，启动虚拟根节点，利用所述虚拟根节点调用所述授权信息数据库中存储的授权信息，对客户端提供DNS解析服务。
可选地，所述授权信息包括存储访问量超过访问阈值的DNS解析记录，和/或，重要域名的DNS解析记录。
可选地，所述授权信息数据库根据所述授权信息的相互关系形成域名层次空间。
可选地，所述授权信息数据库为互联网域名层次的镜像。
可选地，利用所述虚拟根节点对客户端提供DNS解析服务，包括：所述虚拟根节点采用分布式部署，通过BGP方式对所述客户端提供DNS解析服务。
可选地，所述BGP方式包括anycast模式。
可选地，所述判断根节点是否出现DNS解析故障，包括：在骨干网对所述指定区域的临界区域出口处进行DNS数据报文的监听，以确定是否出现DNS解析故障。
可选地，上述方法还包括：
在所述根节点出现DNS解析故障时，至少一个递归DNS将保存的根节点地址修改为指向所述虚拟根节点的地址；或者，将本地的域名解析发送至所述虚拟根节点。
在本发明实施例中，设置了虚拟根节点，当根节点出现DNS解析故障时，虚拟根节点能够代替根节点实现DNS解析功能。为实现虚拟根节点这一功能，授权信息数据库中必须存储有足够的信息，即，授权信息数据库中存储指定区域内的所有DNS请求及对应的授权信息，这样虚拟根节点才能够有足够的资源对DNS请求进行应答。因此，虚拟根节点的实现是在授权信息数据库的基础上实现的。结合新增的授权信息数据库以及虚拟根节点，能够在根节点解析故障的时候为客户端提供DNS解析功能，能够降低DNS单点故障和提高DNS防御攻击能力，同时还可以对虚拟根节点设置访问权限控制，屏蔽DNS的攻击数据，提高DNS解析的安全性及稳定性。对于危险DNS攻击，从授权信息数据库中查询不到具体的授权信息，则虚拟根节点不会为其提供解析服务，因此可以实现防止DNS攻击。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
根据下文结合附图对本发明具体实施例的详细描述，本领域技术人员将会更加明了本发明的上述以及其他目的、优点和特征。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1示出了根据背景技术的整体DNS架构的示意图；
图2示出了根据本发明一个实施例的DNS安全系统的结构示意图；
图3示出了根据本发明一个实施例授权信息数据库对本地DNS服务器进行数据备份的示意图；
图4示出了根据本发明一个实施例的DNS安全系统的具体架构图；
图5示出了根据本发明一个实施例的DNS安全系统的另一个结构示意图；以及
图6示出了根据本发明一个实施例的利用DNS安全系统进行故障处理的方法的处理流程图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
为解决上述技术问题，本发明实施例提供了一种DNS安全系统，用于在根节点结构故障时能够进行故障处理类的容灾处理。图2示出了根据本发明一个实施例的DNS安全系统的结构示意图。参见图2，DNS安全系统中至少包括：
至少一个客户端210，配置为发起DNS请求；
根节点220，配置为对任意一个客户端210发起的DNS请求提供授权信息；
授权信息数据库230，配置为存储指定区域的所有DNS请求及对应的授权信息；
虚拟根节点240，配置为当根节点220出现DNS解析故障时，从授权信息数据库230中调用相应授权信息，为对应客户端210提供解析服务。
在本发明实施例中，设置了虚拟根节点，当根节点出现DNS解析故障时，虚拟根节点能够代替根节点实现DNS解析功能。为实现虚拟根节点这一功能，授权信息数据库中必须存储有足够的信息，即，授权信息数据库中存储指定区域内的所有DNS请求及对应的授权信息，这样虚拟根节点才能够有足够的资源对DNS请求进行应答。因此，虚拟根节点的实现是在授权信息数据库的基础上实现的。结合新增的授权信息数据库以及虚拟根节点，能够在根节点解析故障的时候为客户端提供DNS解析功能，能够降低DNS单点故障和提高DNS防御攻击能力，同时还可以对虚拟根节点设置访问权限控制，屏蔽DNS的攻击数据，提高DNS解析的安全性及稳定性。对于危险DNS攻击，从授权信息数据库中查询不到具体的授权信息，则虚拟根节点不会为其提供解析服务，因此可以实现防止DNS攻击。
具体地，现对DNS攻击行为的处理进行详细描述。在本发明实施例中，对于接收的每个网络数据包，应判断出该网络数据包对应的DNS行为类型，并根据确定的DNS行为类型确定对该网络数据包进行处理的处理主体，进而将该网络数据包转至确定的处理主体进行处理。在本发明实施例中，处理主体可以由两层组成，分别是内核层、应用层。内核层包括网络层、驱动层等，可以实现高速缓存、攻击防护等功能，而应用层可以对网络数据包进行基本解析，包括域名解析后的地址、数据存储地址的获取等。与现有技术中的DNS行为的处理方法相比较，将网络数据包分别划分至内核层和应用层处理，可以将DNS请求根据实际请求处理，若遇到一秒几百万次的DNS请求攻击，也可以由处理能力较强的内核对其进行处理，而遇见时效性要求相对较低的DNS请求，则可以由应用层处理。采用内核和应用层分别处理DNS请求，考虑到内核的巨大的处理能力，能够实现大流量的DNS查询。并且，因DNS请求所导致的修改或启动导致加载时，因内核和应用层是分别处理的，因此可以利用其中之一处理当前DNS请求，另一继续对外提供服务。因此，本发明实施例提高了单机的业务处理能力，大大提高系统的处理能力和安全防护能力的同时，还能实现快速域名动态管理和配置，进而实现很多定制化的复杂功能需求。
当DNS行为类型确定为攻击行为时，那么，可以确定处理主体为内核，而当DNS行为类型为域名解析行为时，可以确定处理主体为应用层。为了提升域名解析服务的响应速度、处理性能及安全防护能力，根据DNS的解析原理，在内核模块中可以实现高速缓存和安全防护，正常情况内核模块能高效、稳定地处理98%的解析请求和绝大部分的攻击防护。而处理逻辑相对复杂，对性能要求并不是那么高的基础解析和管理功能放在应用层实现。
因此，处理主体为内核时，由内核检测所述网络数据包，过滤将网络数据包中携带的DNS攻击行为；以及，将过滤后的网络数据包转发至应用层进行处理。内核检测网络数据包时，可以启动防DDOS攻击策略、IP限速策略、域名限速策略等策略，相应的，可以在内核中为每个策略设置独立的内部模块，用于实现不同策略。
此处需要说明的是，每个网络数据包都具备一个特征码，且每个特征码是独一无二的，因此，可以根据特征码判断网络数据包的DNS请求的属性，识破伪装成正常数据包的DNS攻击操作。现根据如下步骤判断所述网络数据包中是否携带有DNS攻击行为：
步骤A、计算网络数据包的特征码；
步骤B、判断特征码是否是DNS攻击行为的特征码，若是，执行步骤C，若否，执行步骤D；
步骤C、若是，则确定网络数据包中携带有DNS攻击行为；
步骤D、若否，则确定网络数据包中未携带有DNS攻击行为。
其中，数据库中通常存储有已知DNS攻击行为的特征码的集合，当需要校验时，将步骤A中计算出的特征码与数据库的集合进行匹配，若步骤A计算出的特征码存在所述集合中，则是DNS攻击行为，反之则不是。
其中，特征码可以根据IP或域名等域名信息确定，例如，计算指定时间内接收的来自同一IP的网络数据包数得到特征码，和/或计算指定时间内接收的来自同一域名的网络数据包数。若1秒内从同一IP或同一域名接收的网络数据包数远远大于应该接收的包数，就证明该IP地址或域名已被变成攻击源。这也是IP限速策略、域名限速策略的基本原理。被证明变为攻击源的IP地址或域名，之后再接收到来自这一源头的网络数据包，可以直接舍弃或过滤掉，避免被其攻击，提高系统安全性能及处理效率。
内核对攻击行为进行过滤之后，将网络数据包发至应用层进行处理。应用层可以对网络数据包进行解析，获取域名对应的地址信息，从而获取相关数据反馈给客户端。以及，应用层可以对域名信息等数据进行管理，实现数据管理功能。
目前全球仅有13台根服务器，且目前的分布是：主根服务器（A）美国1个，设置在弗吉尼亚州，辅根服务器（B至M）美国9个，瑞典、荷兰、日本各1个。由上述数据可知，根服务器（即根节点）数量较少，且主要设置在部分区域，那么其他区域在域名分析的过程中缺乏主动性和风险控制功能。
域名系统是互联网的基础服务，而根服务器更是整个域名系统的基础，控制了域名解析的根服务器，也就控制了相应的所有域名和IP地址。若存在根服务器的国家突然屏蔽某一地区的域名，那么这些域名所指向的网站就会从互联网上中消失。因此，虚拟根节点的设立十分重要。
在本发明实施例中，在根节点220DNS解析故障的情况下，使用虚拟根节点240进行DNS解析，为加快解析速度，某些常用的、访问量比较大的DNS解析记录，或者某些重要域名的DNS解析记录，可以单独存储在授权信息数据库230的指定区域中，以便虚拟根节点240到授权信息数据库230中查询时能够进行快速回复，实现紧急应答。即，在授权信息数据库230中，授权信息可以包括存储访问量超过访问阈值的DNS解析记录，和/或，重要域名的DNS解析记录。
其中，需要说明的是，授权信息数据库230中的授权信息与根节点220解析的过程相匹配，能够根据授权信息的相互关系，组成域名层次空间，对应域名空间的第一级。并且，授权信息数据库230中的数据信息均能够实时更新。此处的实时更新是指每隔一段时间，会将网络中新的解析记录添加到授权信息数据库中，也可以将授权信息数据库中长期不使用的部分解析记录后移可删除。对于互联网而言，授权信息数据库230是互联网域名层次的镜像。图3示出了根据本发明一个实施例授权信息数据库对本地DNS服务器进行数据备份的示意图。
以中国为例，在采集DNS解析记录时，因根节点和国际域名的授权服务器都在国外，可以在中国骨干网出口进行抓包，将DNS解析记录进行提取分析，存储对应的DNS记录信息，保证抓取包的安全性和可靠性。
在本发明实施例中，虚拟根节点240采用分布式部署，通过BGP（BorderGateway Protocol，边界网关协议，用来连接Internet上独立系统的路由选择协议）方式对客户端210提供DNS解析服务。需要说明的是，优选地，BGP方式可以为任播（anycast）模式。
前文提及，虚拟根节点240控制的是指定区域范围，在正常运行情况下，临界范围的DNS请求也可能会被应答，但是为保证本区域的应答正常，当出现解析异常时，虚拟根节点会240优先保证本区域的DNS正常应答。为实现这一目的，可以在授权信息数据库230或虚拟根节点240中设置本区域DNS请求记录或列表，当客户端210发起的DNS请求在记录或列表中存在，那么优先对其进行应答。
为保证虚拟根节点240能够及时获知根节点解析故障，虚拟根节点240可以在骨干网对指定区域的临界区域出口处进行DNS数据报文的监听，以确定是否出现DNS解析故障。具体的，以中国为例，可以在中国对境外的出口处监听DNS数据报文，对DNS解析记录的正确性进行监控，一旦发现根节点和其他不可控的域名解析异常情况，在出口处可以将对应的请求包传送到虚拟根节点240进行应答，防止数据继续到国外服务器而导致被篡改。
根域名解析的结果一般是不会轻易修改，如果当前返回的解析结果与历史记录中预存的结果不匹配，则证明解析出现篡改，需要告警或采取人工干预。另外，如果当某个顶级域的授权无法正常工作或者返回的都为SERVFAIL也直接可以判断为解析结果错误。DNS的解析结果不正确的一种处理方法为：解析结果出现篡改后，根据告警信息进行判断，对界面操作点击，系统自动批量切换至虚拟根节点的DNS解析。
以上告警信息可以结合预先采集的非法DNS IP和合法的DNS IP地址白名单列表地址确定，例如预先收集的恶意DNS IP地址列表可以是由安全厂商预先收集的一组非法DNS IP地址，该预先收集的恶意DNS IP地址列表可以为客户端数据库中预先收集的恶意DNS IP地址列表，或者也可以为从网站上下载至客户端数据库中的恶意DNS IP地址列表。该预先设置的合法的DNS IP地址白名单列表可以预先存储在客户端数据库中，也可以从网站的服务器（例如：云安全服务器）上下载；
在具体实现中，主要的安全等级包括“危险”、“警告”和“安全”，其中，安全等级为“危险”的表示对用户的威胁最大，为“警告”的次之，为“安全”的最弱。界面上提示也可以据此进行。
图4示出了根据本发明一个实施例的DNS安全系统的具体架构图。参见图4，虚拟根节点会与本地DNS服务器以及其他DNS服务器间建立数据链路。为实现这一目的，图4中的各DNS服务器可以被视为至少一个递归DNS，在根节点出现DNS解析故障时，将本地保存的根节点地址修改为指向虚拟根节点的地址；或者，将本地的域名解析发送至虚拟根节点。从而能够使得根节点根据授权信息数据库存储的数据记录提供域名解析服务。
进一步，本地DNS服务器中设置有缓存，存储有之前一段时间内的域名解析记录。在域名解析过程中，本地DNS服务器会先在自己的空间内查看是否有这个域名的缓存，如果没有，就会向根节点（根服务器）发送这个域名的域名解析请求。若根节点故障，则本地DNS服务器在自己的空间内未查看到这个域名的缓存，则会向虚拟根节点发送这个域名的域名解析请求。
图5示出了根据本发明一个实施例的DNS安全系统的另一个结构示意图，与图2所示的DNS安全系统相比，图5中增加了至少一个递归DNS510。图5中仅仅示意了一个递归DNS，在实际应用中，可以存在多个，且每个递归DNS均可以为多个客户端进行服务。
在本发明实施例中，需要说明的是，若部分DNS服务器无法快速修复，会极大影响用户的感受体验，此时，客户端可以紧急将用户的DNS修改到能够正常运行的其他DNS服务器上，以保证用户能够正常使用网络。
基于同一发明构思，本发明实施例还提供了一种应用上述任意一个优选实施例或其组合所提供的DNS安全系统进行故障处理的方法。图6示出了根据本发明一个实施例的利用DNS安全系统进行故障处理的方法的处理流程图。参见图6，该流程图至少包括步骤S602至步骤S606：
步骤S602、获取指定区域的所有DNS请求及对应的授权信息并存储，生成授权信息数据库；
步骤S604、判断根节点是否出现DNS解析故障，若是，触发步骤S606，若否，流程结束；
步骤S606、若是，启动虚拟根节点，利用虚拟根节点调用授权信息数据库中存储的授权信息，对客户端提供DNS解析服务。
在一个优选的实施例中，授权信息包括存储访问量超过访问阈值的DNS解析记录，和/或，重要域名的DNS解析记录。
在一个优选的实施例中，授权信息数据库根据授权信息的相互关系形成域名层次空间。
在一个优选的实施例中，授权信息数据库为互联网域名层次的镜像。
在一个优选的实施例中，利用虚拟根节点对客户端提供DNS解析服务，包括：虚拟根节点采用分布式部署，通过BGP方式对客户端提供DNS解析服务。
在一个优选的实施例中，BGP方式包括anycast模式。
在一个优选的实施例中，判断根节点是否出现DNS解析故障，包括：在骨干网对指定区域的临界区域出口处进行DNS数据报文的监听，以确定是否出现DNS解析故障。
在一个优选的实施例中，上述方法还包括：
在根节点出现DNS解析故障时，至少一个递归DNS将保存的根节点地址修改为指向虚拟根节点的地址；或者，将本地的域名解析发送至虚拟根节点。
采用本发明实施例提供的DNS安全系统及其故障处理方法，能够达到如下有益效果：
在本发明实施例中，设置了虚拟根节点，当根节点出现DNS解析故障时，虚拟根节点能够代替根节点实现DNS解析功能。为实现虚拟根节点这一功能，授权信息数据库中必须存储有足够的信息，即，授权信息数据库中存储指定区域内的所有DNS请求及对应的授权信息，这样虚拟根节点才能够有足够的资源对DNS请求进行应答。因此，虚拟根节点的实现是在授权信息数据库的基础上实现的。结合新增的授权信息数据库以及虚拟根节点，能够在根节点解析故障的时候为客户端提供DNS解析功能，能够降低DNS单点故障和提高DNS防御攻击能力，同时还可以对虚拟根节点设置访问权限控制，屏蔽DNS的攻击数据，提高DNS解析的安全性及稳定性。对于危险DNS攻击，从授权信息数据库中查询不到具体的授权信息，则虚拟根节点不会为其提供解析服务，因此可以实现防止DNS攻击。
基于本发明的一个方面，本发明提供了A1、一种DNS安全系统，包括：
至少一个客户端，配置为发起域名系统DNS请求；
根节点，配置为对所述DNS请求提供授权信息；
授权信息数据库，配置为存储指定区域的所有DNS请求及对应的授权信息；
虚拟根节点，配置为当所述根节点出现DNS解析故障时，从所述授权信息数据库中调用相应授权信息，为对应客户端提供解析服务。
A2、根据权利要求A1所述的系统，其中，所述授权信息包括存储访问量超过访问阈值的DNS解析记录，和/或，重要域名的DNS解析记录。
A3、根据权利要求A1或A2所述的系统，其中，所述授权信息数据库，还配置为根据所述授权信息的相互关系，组成域名层次空间。
A4、根据权利要求A3所述的系统，其中，所述授权信息数据库为互联网域名层次的镜像。
A5、根据权利要求A1所述的系统，其中，所述虚拟根节点还配置为：采用分布式部署，通过边界网关协议BGP方式对所述客户端提供DNS解析服务。
A6、根据权利要求A5所述的系统，其中，所述BGP方式包括任播anycast模式。
A7、根据权利要求A1所述的系统，其中，所述虚拟根节点还配置为：在骨干网对所述指定区域的临界区域出口处进行DNS数据报文的监听，以确定是否出现DNS解析故障。
A8、根据权利要求A1至A7任一项所述的系统，其中，所述系统还包括：
至少一个递归DNS，配置为在所述根节点出现DNS解析故障时，将本地保存的根节点地址修改为指向所述虚拟根节点的地址；或者，将本地的域名解析发送至所述虚拟根节点。
基于本发明的另一个方面，本发明还提供了B9、一种应用权利要求1至8任一项所述的DNS安全系统进行故障处理的方法，包括：
获取指定区域的所有域名系统DNS请求及对应的授权信息并存储，生成授权信息数据库；
判断根节点是否出现DNS解析故障；
若是，启动虚拟根节点，利用所述虚拟根节点调用所述授权信息数据库中存储的授权信息，对客户端提供DNS解析服务。
B10、根据权利要求B9所述的方法，其中，所述授权信息包括存储访问量超过访问阈值的DNS解析记录，和/或，重要域名的DNS解析记录。
B11、根据权利要求B9或B10所述的方法，其中，所述授权信息数据库根据所述授权信息的相互关系形成域名层次空间。
B12、根据权利要求B11所述的方法，其中，所述授权信息数据库为互联网域名层次的镜像。
B13、根据权利要求B9所述的方法，其中，利用所述虚拟根节点对客户端提供DNS解析服务，包括：所述虚拟根节点采用分布式部署，通过边界网关协议BGP方式对所述客户端提供DNS解析服务。
B14、根据权利要求B13所述的方法，其中，所述BGP方式包括任播anycast模式。
B15、根据权利要求B9所述的方法，其中，所述判断根节点是否出现DNS解析故障，包括：在骨干网对所述指定区域的临界区域出口处进行DNS数据报文的监听，以确定是否出现DNS解析故障。
B16、根据权利要求B9至B15任一项所述的方法，其中，还包括：
在所述根节点出现DNS解析故障时，至少一个递归DNS将保存的根节点地址修改为指向所述虚拟根节点的地址；或者，将本地的域名解析发送至所述虚拟根节点。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书（包括伴随的权利要求、摘要和附图）中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包括伴随的权利要求、摘要和附图）中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的DNS安全系统中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
至此，本领域技术人员应认识到，虽然本文已详尽示出和描述了本发明的多个示例性实施例，但是，在不脱离本发明精神和范围的情况下，仍可根据本发明公开的内容直接确定或推导出符合本发明原理的许多其他变型或修改。因此，本发明的范围应被理解和认定为覆盖了所有这些其他变型或修改。

Claims (10)

1.一种DNS安全系统，包括：
至少一个客户端，配置为发起域名系统DNS请求；
根节点，配置为对所述DNS请求提供授权信息；
授权信息数据库，配置为存储指定区域的所有DNS请求及对应的授权信息；
虚拟根节点，配置为当所述根节点出现DNS解析故障时，从所述授权信息数据库中调用相应授权信息，为对应客户端提供解析服务。
2.根据权利要求1所述的系统，其中，所述授权信息包括存储访问量超过访问阈值的DNS解析记录，和/或，重要域名的DNS解析记录。
3.根据权利要求1或2所述的系统，其中，所述授权信息数据库，还配置为根据所述授权信息的相互关系，组成域名层次空间。
4.根据权利要求3所述的系统，其中，所述授权信息数据库为互联网域名层次的镜像。
5.根据权利要求1所述的系统，其中，所述虚拟根节点还配置为：采用分布式部署，通过边界网关协议BGP方式对所述客户端提供DNS解析服务。
6.根据权利要求5所述的系统，其中，所述BGP方式包括任播anycast模式。
7.根据权利要求1所述的系统，其中，所述虚拟根节点还配置为：在骨干网对所述指定区域的临界区域出口处进行DNS数据报文的监听，以确定是否出现DNS解析故障。
8.根据权利要求1至7任一项所述的系统，其中，所述系统还包括：
至少一个递归DNS，配置为在所述根节点出现DNS解析故障时，将本地保存的根节点地址修改为指向所述虚拟根节点的地址；或者，将本地的域名解析发送至所述虚拟根节点。
9.一种应用权利要求1至8任一项所述的DNS安全系统进行故障处理的方法，包括：
获取指定区域的所有域名系统DNS请求及对应的授权信息并存储，生成授权信息数据库；
判断根节点是否出现DNS解析故障；
若是，启动虚拟根节点，利用所述虚拟根节点调用所述授权信息数据库中存储的授权信息，对客户端提供DNS解析服务。
10.根据权利要求9所述的方法，其中，所述授权信息包括存储访问量超过访问阈值的DNS解析记录，和/或，重要域名的DNS解析记录。
CN201410158695.6A 2014-04-18 2014-04-18 Dns安全系统及其故障处理方法 Active CN103957286B (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN201410158695.6A CN103957286B (zh) 2014-04-18 2014-04-18 Dns安全系统及其故障处理方法
US15/305,091 US9992156B2 (en) 2014-04-18 2015-03-19 DNS security system and failure processing method
PCT/CN2015/074614 WO2015158194A1 (zh) 2014-04-18 2015-03-19 Dns安全系统及其故障处理方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410158695.6A CN103957286B (zh) 2014-04-18 2014-04-18 Dns安全系统及其故障处理方法

Publications (2)

Publication Number Publication Date
CN103957286A true CN103957286A (zh) 2014-07-30
CN103957286B CN103957286B (zh) 2016-04-06

Family

ID=51334509

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410158695.6A Active CN103957286B (zh) 2014-04-18 2014-04-18 Dns安全系统及其故障处理方法

Country Status (3)

Country Link
US (1) US9992156B2 (zh)
CN (1) CN103957286B (zh)
WO (1) WO2015158194A1 (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104917851A (zh) * 2015-05-08 2015-09-16 亚信科技（南京）有限公司 信息处理方法及dns缓存服务器
WO2015158194A1 (zh) * 2014-04-18 2015-10-22 北京奇虎科技有限公司 Dns安全系统及其故障处理方法
CN105245633A (zh) * 2015-10-19 2016-01-13 北京奇虎科技有限公司 一种安全域名系统及其故障处理方法
CN106899423A (zh) * 2015-12-21 2017-06-27 北京奇虎科技有限公司 域名系统的处理方法、装置及域名系统
CN106973122A (zh) * 2016-01-14 2017-07-21 中国移动通信集团浙江有限公司 一种基于云存储的域名系统及其应急解决方法
CN107872544A (zh) * 2016-09-28 2018-04-03 中兴通讯股份有限公司 一种域名解析方法、装置、网关及系统
CN107888642A (zh) * 2016-09-30 2018-04-06 中国电子科技集团公司信息科学研究院 一种标识解析装置、标识解析系统及标识解析方法

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107920140A (zh) * 2018-01-05 2018-04-17 中国矿业大学(北京) 一种抗灾变校园网dns装置
CN107995107A (zh) * 2018-01-05 2018-05-04 中国矿业大学(北京) 一种抗灾变校园网dns系统及其抗灾变方法
CN110636006B (zh) * 2018-06-25 2021-11-02 中国电信股份有限公司 域名查询方法和系统、路由节点、控制节点和防护节点
CN109451013A (zh) * 2018-11-02 2019-03-08 郑州云海信息技术有限公司 一种远程配置客户机os的方法及系统
US11019022B1 (en) * 2020-01-28 2021-05-25 F5 Networks, Inc. Processing packets with returnable values
US11297033B2 (en) * 2020-07-02 2022-04-05 Afilias Limited System and method for generating current live and test versions of DNS data for HSM changes
US11218326B1 (en) * 2020-07-02 2022-01-04 Afilias Limited System and method for generating current live and test versions of DNS data for rollover
US11233767B1 (en) * 2020-07-02 2022-01-25 Afilias Limited System and method for publishing DNS records of a domain including either signed or unsigned records
US11405353B2 (en) 2020-07-16 2022-08-02 Afilias Limited System and method for generating concurrently live and test versions of DNS data
CN112134967B (zh) * 2020-09-30 2022-06-28 中国互联网络信息中心 一种基于共治链的域名解析方法及装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103152340A (zh) * 2013-02-28 2013-06-12 汉柏科技有限公司 一种跨资源访问的协议识别方法
CN103237089A (zh) * 2013-05-16 2013-08-07 广东睿江科技有限公司 基于dns轮询方式网页的修复方法、装置和服务器
WO2013164007A1 (en) * 2012-04-30 2013-11-07 Nec Europe Ltd. Method for performing dns resolution in a network, content distribution system and client terminal for deployment in a content distribution system

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030182447A1 (en) * 2001-05-31 2003-09-25 Schilling Frank T. Generic top-level domain re-routing system
US20060259723A1 (en) * 2004-11-16 2006-11-16 Petruzzo Stephen E System and method for backing up data
US7680876B1 (en) * 2006-12-14 2010-03-16 Cisco Technology, Inc. Highly available domain name system
US20080235383A1 (en) * 2007-03-22 2008-09-25 Eric Schneider Methods, Systems, Products, And Devices For Generating And Processing DNS Friendly Identifiers
US7836207B2 (en) * 2007-12-20 2010-11-16 Fast Health Corporation System and method for redirecting a website upon the occurrence of a disaster or emergency event
US7860982B2 (en) * 2008-03-14 2010-12-28 Microsoft Corporation Internet connectivity verification
CN101431539B (zh) * 2008-12-11 2011-04-20 华为技术有限公司 一种域名解析方法、系统及装置
US8073972B2 (en) * 2009-05-26 2011-12-06 Red Hat, Inc. System and method for location discovery based on DNS
EP2641383B1 (en) * 2010-11-17 2014-11-12 Telefonaktiebolaget L M Ericsson (publ) DNS server arrangement and method
US8612618B2 (en) * 2011-10-31 2013-12-17 King Fahd University Of Petroleum And Minerals Peer-to-peer DNS networking method
US9106695B2 (en) * 2012-03-14 2015-08-11 Daniel Kaminsky Method and system for user authentication using DNSSEC
US9246874B2 (en) * 2012-06-29 2016-01-26 Verizon Patent And Licensing Inc. Virtual domain name system
CN103354525A (zh) 2013-06-08 2013-10-16 中国科学院计算机网络信息中心 基于OpenFlow实现广域网任播负载均衡的系统和方法
CN103957284B (zh) 2014-04-04 2015-09-09 北京奇虎科技有限公司 Dns行为的处理方法、装置及系统
US9614716B2 (en) * 2014-04-07 2017-04-04 International Business Machines Corporation Controller maintenance in a network-attached storage system
CN103957285B (zh) 2014-04-18 2015-09-09 北京奇虎科技有限公司 提供根域名解析服务的方法和系统
CN103957286B (zh) 2014-04-18 2016-04-06 北京奇虎科技有限公司 Dns安全系统及其故障处理方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013164007A1 (en) * 2012-04-30 2013-11-07 Nec Europe Ltd. Method for performing dns resolution in a network, content distribution system and client terminal for deployment in a content distribution system
CN103152340A (zh) * 2013-02-28 2013-06-12 汉柏科技有限公司 一种跨资源访问的协议识别方法
CN103237089A (zh) * 2013-05-16 2013-08-07 广东睿江科技有限公司 基于dns轮询方式网页的修复方法、装置和服务器

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015158194A1 (zh) * 2014-04-18 2015-10-22 北京奇虎科技有限公司 Dns安全系统及其故障处理方法
US9992156B2 (en) 2014-04-18 2018-06-05 Beijing Qihoo Technology Company Limited DNS security system and failure processing method
CN104917851A (zh) * 2015-05-08 2015-09-16 亚信科技（南京）有限公司 信息处理方法及dns缓存服务器
CN104917851B (zh) * 2015-05-08 2019-01-22 成都亚信网络安全产业技术研究院有限公司 信息处理方法及dns缓存服务器
CN105245633A (zh) * 2015-10-19 2016-01-13 北京奇虎科技有限公司 一种安全域名系统及其故障处理方法
WO2017067443A1 (zh) * 2015-10-19 2017-04-27 北京奇虎科技有限公司 一种安全域名系统及其故障处理方法
CN106899423A (zh) * 2015-12-21 2017-06-27 北京奇虎科技有限公司 域名系统的处理方法、装置及域名系统
CN106973122A (zh) * 2016-01-14 2017-07-21 中国移动通信集团浙江有限公司 一种基于云存储的域名系统及其应急解决方法
CN107872544A (zh) * 2016-09-28 2018-04-03 中兴通讯股份有限公司 一种域名解析方法、装置、网关及系统
WO2018059432A1 (zh) * 2016-09-28 2018-04-05 中兴通讯股份有限公司 一种域名解析方法、装置、网关及系统和计算机存储介质
CN107888642A (zh) * 2016-09-30 2018-04-06 中国电子科技集团公司信息科学研究院 一种标识解析装置、标识解析系统及标识解析方法

Also Published As

Publication number Publication date
WO2015158194A1 (zh) 2015-10-22
US9992156B2 (en) 2018-06-05
US20170048187A1 (en) 2017-02-16
CN103957286B (zh) 2016-04-06

Similar Documents

Publication Publication Date Title
CN103957286B (zh) Dns安全系统及其故障处理方法
CN103957285B (zh) 提供根域名解析服务的方法和系统
CN103957201A (zh) 基于dns的域名信息处理方法、装置及系统
CN105245633A (zh) 一种安全域名系统及其故障处理方法
CN103957284B (zh) Dns行为的处理方法、装置及系统
US20180359331A1 (en) Data Cloud Storage System, Client Terminal, Storage Server and Application Method
US9264440B1 (en) Parallel detection of updates to a domain name system record system using a common filter
US20130007870A1 (en) Systems for bi-directional network traffic malware detection and removal
CN103957195A (zh) Dns系统以及dns攻击的防御方法和防御装置
EP2611116B1 (en) Providing privacy enhanced resolution system in the domain name system
CN103634786A (zh) 一种无线网络的安全检测和修复的方法与系统
CN104993953A (zh) 检测网络服务状态的方法和装置
CN106790746B (zh) 一种分布式域名存储和解析方法及系统
CN107295116B (zh) 一种域名解析方法、装置及系统
CN101834911A (zh) 域名劫持的防御方法和网络出口设备
US10805190B2 (en) Name collision risk manager
CN102833262A (zh) 基于whois信息的钓鱼网站收集、鉴定方法和系统
CN110572406B (zh) 一种失陷主机确定方法、系统及相关装置
US9762542B2 (en) Parallel detection of updates to a domain name system record system using a common filter
CN110809070A (zh) 网站域名解析记录处理方法、装置、电子设备及存储介质
CN111988447A (zh) 网络安全防护方法及dns递归服务器
CN104967538A (zh) 网络故障切换方法、设备及系统
CN110708309A (zh) 反爬虫系统及方法
CN108076165B (zh) 一种域名解析信息管理的方法、设备及系统
CN104618176A (zh) 网站安全检测方法及装置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
ASS Succession or assignment of patent right

Owner name: QIZHI SOFTWARE (BEIJING) CO., LTD. SHANGHAI JULIU

Effective date: 20150217

Owner name: BEIJING QIHU TECHNOLOGY CO., LTD.

Free format text: FORMER OWNER: SHANGHAI JULIU SOFTWARE TECHNOLOGY CO., LTD.

Effective date: 20150217

C41 Transfer of patent application or patent right or utility model
C53 Correction of patent of invention or patent application
CB03 Change of inventor or designer information

Inventor after: Tan Xiaosheng

Inventor after: Qi Xiangdong

Inventor after: Pu Can

Inventor before: Pu Can

COR Change of bibliographic data

Free format text: CORRECT: ADDRESS; FROM: 201109 MINHANG, SHANGHAI TO: 100088 XICHENG, BEIJING

Free format text: CORRECT: INVENTOR; FROM: PU CHAN TO: TAN XIAOSHENG QI XIANGDONG PU CHAN

TA01 Transfer of patent application right

Effective date of registration: 20150217

Address after: 100088 Beijing city Xicheng District xinjiekouwai Street 28, block D room 112 (Desheng Park)

Applicant after: Beijing Qihu Technology Co., Ltd.

Applicant after: Qizhi Software (Beijing) Co., Ltd.

Applicant after: SHANGHAI JULIU SOFTWARE TECHNOLOGY CO., LTD.

Address before: 201109 Shanghai city Minhang District Fanghe Road No. 1088 building third room 2057

Applicant before: SHANGHAI JULIU SOFTWARE TECHNOLOGY CO., LTD.

C14 Grant of patent or utility model
GR01 Patent grant