CN104052755A - 基于云平台的dns欺骗攻击探测及定位的系统和方法 - Google Patents

Abstract

本发明提供一种基于云平台的DNS欺骗攻击探测及定位的系统和方法，所述云平台包括运行在覆盖全国所有省市各运营商的虚拟资源；所述系统包括探测子系统和定位子系统；所述探测子系统下发探测任务，分析探测的数据，并将探测结果递至所述定位子系统；所述定位子系统接收所述探测结果，并进行定位和警示。本发明提供的系统和方法带有位置信息，便于分析定位攻击发生的位置；本发明不仅能探测出DNS攻击，还能根据探测结果的位置信息，分析定位出攻击发生的具体位置；利用云平台快速部署的特性，本发明可以方便快捷地对全国各个省市各运营商的DNS解析结果进行检测并警示，从而在第一时间发现对于关键域名的攻击。

Description

基于云平台的DNS欺骗攻击探测及定位的系统和方法

技术领域

本发明涉及一种信息安全技术，具体讲涉及一种基于云平台的DNS欺骗攻击探测及定位的系统与方法。

背景技术

随着因特网技术在全球范围内的发展，用户对网络的需求越来越大。一般情况下，用户通过域名访问的方式连接网络站点，计算机之间的通信则是通过IP地址进行的，此时就会涉及到域名解析问题。DNS(域名系统，Domain Name System)是因特网的一项核心服务，它作为将域名和IP地址相互映射的一个分布式数据库，存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址的功能，使用户更方便地访问互联网，而不用去记忆直接被机器读取的IP地址数字串。几乎每个用户的每次访问都会使用到域名解析，因此域名解析的准确程度对整个网络的服务质量的影响非常大。

DNS是大部分网络应用的基础，对它的攻击将影响整个网络的正常运转。DNS欺骗攻击是攻击者常用的手法，它具有隐蔽性强、打击面广、攻击效果明显等特点，因此十分需要提供一种有效的防范策略。

发明内容

为了克服现有技术的不足，本发明提供一种基于云平台的DNS欺骗攻击探测及定位的系统与方法。

为了实现上述发明目的，本发明采取如下技术方案：本发明的一方面，提供一种基于云平台的DNS欺骗攻击探测及定位的系统，所述云平台包括运行在覆盖全国所有省市各运营商的虚拟资源；其特征在于，所述系统包括探测子系统和定位子系统；所述探测子系统下发探测任务，分析探测的数据，并将探测结果递至所述定位子系统；所述定位子系统接收所述探测结果，并进行定位和警示。

优选地，所述本地DNS服务器为测试机配置的DNS服务器；所述探测子系统设于测试机上，所述测试机为所述云平台上的虚拟资源；所述探测子系统将探测任务参数转换为目标格式下发到测试机上，并接收所述测试机返回的探测结果。

优选地，所述分析探测的数据包括：所述探测子系统根据待探测URL列表进行DNS解析，并将DNS解析结果与注册URL列表中预存登记的IP地址进行比较，返回探测结果；所述DNS解析结果为对待监测URL列表进行DNS解析后得到的IP地址；所述探测子系统设置延时，对每个URL进行解析；所述探测结果包括：

1)若收到的DNS解析结果数目为2，则记为收到两条解析结果；

2)若收到的DNS解析结果与注册URL列表中预存登记的IP地址不符，则记为错误；

3)若收到的DNS解析结果与注册URL列表中预存登记的IP地址相符，则记为正确。

优选地，所述定位子系统定位的受攻击位置包括：网络用户终端、某级DNS服务器和URL所对应的web应用服务器。

本发明的另一方面，提供一种基于云平台的DNS欺骗攻击探测及定位的方法，所述云平台包括运行在覆盖全国所有省市各运营商的虚拟资源；其特征在于，所述方法包括如下步骤：

A.探测子系统下发探测任务；

B.探测子系统分析探测的数据，将探测结果递至所述定位子系统；

C.定位子系统接收所述探测结果，并进行定位和警示。

优选地，所述本地DNS服务器为测试机配置的DNS服务器；所述探测子系统设于测试机上，所述测试机为所述云平台上的虚拟资源；步骤A包括：所述探测子系统将探测任务参数转换为目标格式下发到测试机上，并接受所述测试机返回的探测结果。

优选地，步骤B包括：根据待探测URL列表进行DNS解析，并将DNS解析结果与注册URL列表中预存登记的IP地址进行比较，返回探测结果；所述DNS解析结果为对待监测URL列表进行DNS解析后得到的IP地址；所述探测子系统设置延时，对每个URL进行解析；探测结果包括：

B-1.若收到的DNS解析结果数目为2，则标记为收到两条解析结果；

B-2.若收到的DNS解析结果与注册URL列表中预存登记的IP地址不符，则标记为错误；

B-3.若收到的DNS解析结果与注册URL列表中预存登记的IP地址相符，则标记为正确。

优选地，步骤C中，定位的受攻击位置包括：网络用户终端、某级DNS服务器和URL所对应的web应用服务器。

优选地，所述步骤C包括：

C-1.若定位子系统收到两条解析结果，则记为对应测试机终端劫持；

C-2.若定位子系统收到的针对某条URL的探测结果中存在被标记为正确和被标记为错误两种情况，则记为探测结果标记为错误的测试机本地DNS服务器受到攻击；

C-3.若定位子系统收到的针对某条URL的探测结果都被标记为错误，则进一步判断与该URL的顶级域名相同的其他URL的探测结果；

C-4.若C-3中所述其他URL的探测结果存在被标记为正确的情况，则记为URL所对应的web应用服务器受到攻击；

C-5.若C-3中所述其他URL的探测结果不存在被标记为正确的情况；则记为GTLD域名服务器受到攻击。

与现有技术相比，本发明的有益效果在于：

本发明利用云平台上分布在全国所有省、运营商的虚拟资源，获得探测结果；与现有方法相比，带有位置信息(所属省、运营商)，便于分析定位攻击发生的位置；

与现有技术相比，本发明不仅能探测出DNS攻击，还能根据探测结果的位置信息，分析定位出攻击发生的具体位置；

利用云平台快速部署的特性，本发明可以方便快捷地对全国各个省市各运营商的DNS解析结果进行检测并警示，从而在第一时间发现对于关键域名的攻击。

附图说明

图1是本发明的DNS解析流程图；

图2是本发明的DNS攻击定位方法流程图。

具体实施方式

下面结合附图对本发明作进一步详细说明。

本发明基于云平台覆盖全国各省、主要运营商中的虚拟资源，提供了进行DNS攻击探测和定位的系统和方法。

一、本发明的系统主要包括攻击探测部分和分析定位攻击的部分。

探测部分采用的方法是将探测任务下发到云平台所有省、运营商的虚拟资源上，每个虚拟资源对待检测URL列表进行DNS解析，接收DNS解析结果。如果收到两个DNS解析结果，可以判断为终端DNS劫持；如果收到的DNS解析结果与预存的登记IP地址不符，则判断为服务器侧DNS受到DNS攻击；如果收到的DNS解析结果与预存登记的IP地址相符，则判断DNS工作正常。将结果返回系统的分析定位攻击部分。

系统的分析定位攻击部分收到所有返回结果后，进行攻击定位，针对某个待测URL，如果所有虚拟资源的返回结果都为受到攻击，则定位该目标域名所属的域名服务器受到攻击，或根据DNS解析过程定位某级DNS服务器受到攻击，或该URL对应的web应用服务器受到攻击；如果某部分虚拟资源返回结果为受到攻击，则定位该部分虚拟资源所使用域名服务器受到攻击。

二、本发明实施环境

参见图1，以访问163网站为例，DNS域名解析过程一般涉及到以下5个元素：

测试机：本发明运行在云平台上，测试机为覆盖全国所有省市各运营商的虚拟资源；

本地域名服务器：测试机所配置的DNS服务器；

主根域名服务器：用来管理互联网的主目录；

GTLD域名服务器：通用顶级域(Generic top-level domain)是供一些特定组织使用的顶级域，以其代表组织英文名称的头几个英文字母代表，如.com代表商业机构；

web应用服务器：实现动态网页技术(URL)的服务器；

本发明按照待检测URL列表进行DNS解析，列表中每个注册URL对应一个IP。本发明设置延时，对每个URL进行一次解析，异常情况下将返回一个错误IP或者两个不同IP。

本发明包括DNS欺骗攻击检测系统部分和攻击定位部分，目的是当DNS解析出现异常情况时，定位出受到攻击的具体位置。

三、参见图1的DNS域名解析过程，本发明提供的DNS欺骗攻击探测系统的方法包

括以下步骤：

步骤1对云平台下达任务。将任务参数转换为目标格式下发到云平台所有省、运营商的虚拟资源上，平台返回用户所下发任务的任务ID，在平台上运行的用户应用将这个任务ID作为唯一标识来返回结果；

步骤2在每个测试机上，按照待检测URL列表进行DNS解析，返回解析得到的IP地址；

步骤3对DNS解析结果与列表中注册URL对应的IP地址进行比较，返回探测结果：

1)如果收到两个DNS解析结果，则记录结果为“收到两条解析结果”；

2)如果收到的DNS解析结果与预存登记的IP地址不符，则记录结果为“错误”；

3)如果收到的DNS解析结果与预存登记的IP地址相符，则记录结果为“正确”。

参见图2，本发明提供的DNS欺骗攻击定位系统的方法包括以下步骤：

步骤4接收DNS欺骗攻击检测系统的全部返回结果；

步骤5分析接收到的所有结果，进行攻击定位并警示。定位的受攻击位置包括：网络用户终端、某级DNS服务器和URL所对应的web应用服务器。

1)当测试机N收到探测结果为“收到两条解析结果”时，说明网络用户终端出现了问题，标记为“测试机N终端劫持”。

2)当测试机N的某条URL的探测结果中出现被记录为“错误”的结果，则进一步判断该URL在其他测试机上的探测结果，如果结果存在“正确”，说明本地域名服务器受到了攻击，标记为“测试机N的本地域名服务器受到攻击”；

3)当所有测试机针对某条URL的探测结果全部为“错误”时，进一步判断与该URL的顶级域名相同的其他URL的探测结果；

4)如果3)的探测结果中存在“正确”时，说明web应用服务器受到了攻击，标记为“该URL所对应的web应用服务器受到攻击”；

5)如果3)的所有探测结果全为“错误”时，说明相对应的顶级域名服务器受到了攻击，标记为“该GTLD(如：.com/.cn/.edu.)域名服务器受到攻击”。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求范围当中。

Claims (9)

1.一种基于云平台的DNS欺骗攻击探测及定位的系统，所述云平台包括运行在覆盖全国所有省市各运营商的虚拟资源；其特征在于，所述系统包括探测子系统和定位子系统；所述探测子系统下发探测任务，分析探测的数据，并将探测结果递至所述定位子系统；所述定位子系统接收所述探测结果，并进行定位和警示。

2.如权利要求1所述的系统，其特征在于：所述探测子系统设于测试机上，所述测试机为所述云平台上的虚拟资源；所述探测子系统将探测任务参数转换为目标格式下发到测试机上，并接收所述测试机返回的探测结果。

3.如权利要求1所述的系统，其特征在于：所述分析探测的数据包括：所述探测子系统根据待探测URL列表进行DNS解析，并将DNS解析结果与注册URL列表中预存登记的IP地址进行比较，返回探测结果；所述DNS解析结果为对待监测URL列表进行DNS解析后得到的IP地址；所述探测子系统设置延时，对每个URL进行解析；所述探测结果包括：

1)若收到的DNS解析结果数目为2，则记为收到两条解析结果；

2)若收到的DNS解析结果与注册URL列表中预存登记的IP地址不符，则记为错误；

3)若收到的DNS解析结果与注册URL列表中预存登记的IP地址相符，则记为正确。

4.如权利要求1所述的系统，其特征在于，所述定位子系统定位的受攻击位置包括：网络用户终端、某级DNS服务器和URL所对应的web应用服务器。

5.一种基于云平台的DNS欺骗攻击探测及定位的方法，所述云平台包括运行在覆盖全国所有省市各运营商的虚拟资源；其特征在于，所述方法包括如下步骤：

A.探测子系统下发探测任务；

B.探测子系统分析探测的数据，将探测结果递至所述定位子系统；

C.定位子系统接收所述探测结果，并进行定位和警示。

6.如权利要求5所述的方法，其特征在于：所述探测子系统设于测试机上，所述测试机为所述云平台上的虚拟资源；步骤A包括：所述探测子系统将探测任务参数转换为目标格式下发到测试机上，并接收所述测试机返回的探测结果。

7.如权利要求5所述的方法，其特征在于，步骤B包括：根据待探测URL列表进行DNS解析，并将DNS解析结果与注册URL列表中预存登记的IP地址进行比较，返回探测结果；所述DNS解析结果为对待监测URL列表进行DNS解析后得到的IP地址；所述探测子系统设置延时，对每个URL进行解析；探测结果包括：

B-1.若收到的DNS解析结果数目为2，则标记为收到两条解析结果；

B-2.若收到的DNS解析结果与注册URL列表中预存登记的IP地址不符，则标记为错误；

B-3.若收到的DNS解析结果与注册URL列表中预存登记的IP地址相符，则标记为正确。

8.如权利要求5所述的方法，其特征在于，步骤C中，定位的受攻击位置包括：网络用户终端、某级DNS服务器和URL所对应的web应用服务器。

9.如权利要求8所述的方法，其特征在于，所述步骤C包括：

C-1.若定位子系统收到两条解析结果，则记为测试机终端劫持；

C-2.若定位子系统收到的针对某条URL的探测结果中存在被标记为正确和被标记为错误两种情况，则记为探测结果为错误的测试机本地DNS服务器受到攻击；

C-3.若定位子系统收到的针对某条URL的探测结果都被标记为错误，则进一步判断与该URL的顶级域名相同的其他URL的探测结果；

C-4.若C-3中所述其他URL的探测结果存在被标记为正确的情况，则记为URL所对应的web应用服务器受到攻击；

C-5.若C-3中所述其他URL的探测结果不存在被标记为正确的情况；则记为GTLD域名服务器受到攻击。