CN108833406B - 基于多层级自行调整限速的流量控制安全防护方法 - Google Patents

基于多层级自行调整限速的流量控制安全防护方法 Download PDF

Info

Publication number
CN108833406B
CN108833406B CN201810613475.6A CN201810613475A CN108833406B CN 108833406 B CN108833406 B CN 108833406B CN 201810613475 A CN201810613475 A CN 201810613475A CN 108833406 B CN108833406 B CN 108833406B
Authority
CN
China
Prior art keywords
speed limit
matrix
domain name
dns
filtering
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201810613475.6A
Other languages
English (en)
Other versions
CN108833406A (zh
Inventor
刘晓光
汪志武
赵子毅
张晴晴
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Isurecloud Technology Co ltd
Original Assignee
Beijing Isurecloud Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Isurecloud Technology Co ltd filed Critical Beijing Isurecloud Technology Co ltd
Priority to CN201810613475.6A priority Critical patent/CN108833406B/zh
Publication of CN108833406A publication Critical patent/CN108833406A/zh
Application granted granted Critical
Publication of CN108833406B publication Critical patent/CN108833406B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/144—Detection or countermeasures against botnets
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及安全防护技术领域，具体涉及一种基于多层级自行调整限速的流量控制安全防护技术，该技术方案能有效过滤不同类型DDoS攻击流量，最大限度保证正常用户的DNS访问。多层级自行调整限速可防止某一地址段或者对某些域名的查询流量占用太多资源，从而影响整体系统性能。当出现局部IP段或域名段查询流量异常变大，则可能是DDoS攻击所造成，则可通过多层级限速实现防御功能，设置矩阵的顺序自行调节技术，保证了在新的周期内，数据包首先经过丢弃数据包最多的矩阵，这样就尽可能地减少了数据经历矩阵的数量，从而节省了系统计算资源的开销。

Description

基于多层级自行调整限速的流量控制安全防护方法
技术领域
本发明涉及安全防护技术领域，具体涉及一种基于多层级自行调整限速的流量控制安全防护技术。
背景技术
DNS(Domain Name System)域名系统，作为互联网的基础服务设施，为域名和精确IP地址建立映射关系，实现用户访问互联网上的网站、应用与业务。近年来，随着网络应用和业务的不断发展，网络攻击事件日益频繁。进行DNS攻击的主要方式包括：DNS服务内容被篡改和DNS服务器受到流量攻击两种类型。无论是哪种攻击方式，都会对 DNS服务器的正常运作及互联网的正常访问造成比较大的影响。目前针对DNS攻击已经有很多种防御措施，各种防御措施的方法、特点及局限性如下：
一、常用的DNS安全防护技术及其局限性
(一)加强DNS的安全管理
主要是加强对域名服务器的安全管理，将对外提供服务的DNS解析服务器和管理服务器分离，利用自身服务器的安全加固技术，结合定期更改密码、加强漏洞修复等手段，从而可以防范攻击者通过黑客手段获取管理权限，能有效防范诸如域名劫持之类的常见攻击，但无法应用于流量攻击。
(二)应用HTTP DNS技术
DNS协议默认均采用UDP协议传输，UDP协议本身的无连接特性，使得DNS服务器无法确定其查询用户的真实性，间接上为DDoS攻击、放大攻击、反射攻击提供了相当程度的便利。
HTTP DNS技术通过HTTP协议承载DNS协议，除了能有效解决流量调度的问题之外，它还可以利用TCP协议的特性，有效地确认查询用户的真实性，通过该方法可以有效防范类似缓存投毒、DDoS攻击、放大攻击、反射攻击等攻击手段。但是HTTP DNS技术在应用方面具有很大的局限性，只能应用于类似移动APP之类的特殊客户端，而无法为海量的普通用户提供大规模的查询服务。
(三)TC标志位重传技术
DNS标准协议中，有一个TC标志位字段，当DNS应答结果超过512 字节UDP协议无法承载时，会在应答报文中将该标志字段置1，DNS查询客户端收到该DNS应答后，会重新发起基于TCP协议的DNS查询， DNS服务器将所有应答结果基于TCP协议回复给客户端。
TC标志位重传技术就是利用DNS协议的这一特性，确认DNS查询客户端的真实性，有效防护DDoS攻击。该技术是一种针对客户响应的方法，但是TCP协议的自身特性会对系统资源消耗巨大，同时在DNS 查询流量比较大的情况下该技术会产生较大误差，实际上在大容量DNS 缓存服务器中难以使用。
(四)CNAME类型重传技术
类似TC标志位重传技术类型，它利用DNS协议的特性，DNS递归服务器收到DNS权威服务器的CNAME应答结果后，会重新发起对这个 CNAME结果的DNS查询请求，以此来确认DNS查询客户端的真实性。这种技术同样有很大的局限性，只能应用于DNS权威服务器，以此来确认DNS递归服务器的真实性。其无法应用于普通的DNS缓存服务器和递归服务器，实际上无法实现对流量攻击的有效保护。
(五)DNS限速技术
DNS限速技术有分为IP限速和域名限速。IP限速是指限定每个IP 用户的每秒钟DNS查询次数。IP限速可以有效的抑制DNS放大攻击和 DNS反射攻击，对DDoS攻击有一定的缓解作用，但对于有大量僵尸网络的DDoS攻击并不能起到很好的防护作用。域名限速是指限定某个特定域名或泛域名的每秒钟DNS查询次数。域名限速主要是为了防护前缀变化的DNS递归攻击，有效的保护DNS递归服务器，但是针对全散列的错误域名攻击无法防护。
综前所述，各种防护技术都具有其自身的局限性，从而形成在当前网络环境中针对大量僵尸网络的不同类别DDoS攻击难以实现有效防护的局面。同时在复杂的现网环境下也可能难以精确溯源攻击者，因此如何有效应对大量的运行在UDP协议上全散列域名的DDoS攻击是网络运营商所面临的重大难题。
发明内容
针对现有技术的不足，本发明公开了一种基于多层级自行调整限速的流量控制安全防护技术，用于解决各种防护技术都具有其自身的局限性，从而形成在当前网络环境中针对大量僵尸网络的不同类别 DDoS攻击难以实现有效防护的局面。同时在复杂的现网环境下也可能难以精确溯源攻击者。
本发明通过以下技术方案予以实现：
基于多层级防御自行调整的DNS安全防护技术，其特征在于：所述技术通过多层级自行调整限速防止某一地址段或者对某些域名的查询流量占用太多资源，所述多层级自行调整限速过滤技术实现中，在每一层级别都有不同的过滤策略，不同的过滤策略针对不同的DDoS攻击流量，每一层级别的过滤策略都是一个限速过滤矩阵，DNS请求包依次通过这些限速过滤矩阵做判断，通过的为正常请求包，过滤的为异常的DDoS攻击包。
优选的，所述限速过滤矩阵包括：源IP限速过滤矩阵、域名限速矩阵、授信域名过滤矩阵和泛域限速过滤矩阵。
优选的，所述源IP限速过滤矩阵判断识别每个源IP的请求是否超过限速阈值，超过的丢弃，具体是将源IP范围划分成各种网段，通过IP网段或单个IP来控制DNS查询。
优选的，所述域名限速矩阵判断识别每个域名的请求是否超过限速阈值，超过的丢弃，不同的域名有不同的限速阈值，可进行配置，防止系统遭受单个域名大量DNS请求的流量攻击。
优选的，所述授信域名过滤矩阵通过分析一定时间内现网所有的 DNS请求应答数据，得到所有应答结果为NoError的域名清单，将这份清单作为可信的域名列表，DNS请求域名在这份可信的列表中的，不做过滤并正常通过。
优选的，域名不在这份列表中的DNS查询请求，授信域名过滤矩阵通过聚合分析域名的三级后缀、二级后缀，再做限速过滤。
优选的，所述泛域限速过滤矩阵中，如果授信域名列表不全或者不存在，为了应对前缀变化的泛域递归攻击，将通过泛域限速功能进行防护，从域名三级后缀、二级后缀的角度进行聚合统计分析，丢弃递归流量较大的域，在递归性能有限的情况下，保证正常域名的递归。
优选的，还包括矩阵的顺序自行调节技术，所述技术在一定的周期内，统计各个矩阵所丢弃的数据包的数量，并依照数据的大小进行排序，依照这种规则，丢弃数据包越多的矩阵排在最前面，次多的排在第二位，以此类推，丢弃数据包最少的矩阵排在最后一位，在下一个周期内，数据包将按照以上顺序依次经过矩阵的检测，并在周期结束时重新统计各个矩阵所丢弃数据包的情况，并根据这些情况调整矩阵的排位顺序。
本发明的有益效果为：
本发明能有效过滤不同类型DDoS攻击流量，最大限度保证正常用户的DNS访问。多层级自行调整限速可防止某一地址段或者对某些域名的查询流量占用太多资源，从而影响整体系统性能。当出现局部IP 段或域名段查询流量异常变大，则可能是DDoS攻击所造成，则可通过多层级限速实现防御功能，设置矩阵的顺序自行调节技术，保证了在新的周期内，数据包首先经过丢弃数据包最多的矩阵，这样就尽可能地减少了数据经历矩阵的数量，从而节省了系统计算资源的开销。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明的限速过滤矩阵流程图；
图2是本发明的授信域名过滤流程图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明针对目前常见的大规模DDoS域名流量攻击，提出了一种基于多层级自行调整限速的流量控制安全防护技术，该技术方案能有效过滤不同类型DDoS攻击流量，最大限度保证正常用户的DNS访问。多层级自行调整限速可防止某一地址段或者对某些域名的查询流量占用太多资源，从而影响整体系统性能。当出现局部IP段或域名段查询流量异常变大，则可能是DDoS攻击所造成，则可通过多层级限速实现防御功能。
在多层级自行调整限速过滤技术实现中，在每一层级别都有不同的过滤策略，不同的过滤策略针对不同的DDoS攻击流量，每一层级别的过滤策略都是一个限速过滤矩阵，DNS请求包依次通过这些限速过滤矩阵做判断，通过的为正常请求包，过滤的为异常的DDoS攻击包。
本发明提供的限速过滤矩阵有如下几种：
(1)源IP限速过滤矩阵
判断识别每个源IP的请求是否超过限速阈值，超过的丢弃。具体是将源IP范围划分成各种网段，通过IP网段或单个IP来控制DNS查询。在系统遭受单个IP或IP段发起大量DNS请求的攻击下，有较好的防护作用。
(2)域名限速矩阵
判断识别每个域名的请求是否超过限速阈值，超过的丢弃。不同的域名有不同的限速阈值，可进行配置，防止系统遭受单个域名大量 DNS请求的流量攻击。
(3)授信域名过滤矩阵
通过分析一定时间内现网所有的DNS请求应答数据，得到所有应答结果为NoError的域名清单，将这份清单作为可信的域名列表，DNS 请求域名在这份可信的列表中的，不做过滤并正常通过；域名不在这份列表中的DNS查询请求，授信域名过滤矩阵通过聚合分析域名的三级后缀、二级后缀，再做限速过滤。
(4))泛域限速过滤矩阵
如果授信域名列表不全或者不存在，为了应对前缀变化的泛域递归攻击，例如：xxx.abc.com，xxx.abc.com.cn攻击，将通过泛域限速功能进行防护。泛域限速是为了控制递归流量，从域名三级后缀、二级后缀的角度进行聚合统计分析，丢弃递归流量较大的域。在递归性能有限的情况下，保证正常域名的递归。
本发明还设计了一种矩阵的顺序自行调节技术，在图1中我们可以看到矩阵是按照1、2、3、4…n这样的顺序进行排序，数据包过来的时候也是按照这种顺序进行过滤，当数据包通过矩阵1的过滤以后，再由矩阵2进行过滤，以此类推。如果按照这种方式，一个数据包如果没有被前面的矩阵丢弃，那这个数据包必须按照预定的顺序经过这些矩阵，直至被丢弃或者通过。具体来说，如果在一个时间段以内，有大量的数据包被矩阵3丢弃，而在此之前这些数据包都要经过矩阵 1、矩阵2的检查，这样就会对系统的计算能力造成了一定程度上的浪费。如果一开始这些数据包就被矩阵3进行检查并被丢弃掉，这样就避免了再被矩阵1、矩阵2进行过滤，从而节省了系统的计算能力开销。针对以上情况，本发明还设计了一种矩阵顺序自动调整机制，具体内容如下：
在一定的周期内(如一周，这个周期可以灵活设置)，统计各个矩阵所丢弃的数据包的数量，并依照数据的大小进行排序，依照这种规则，丢弃数据包越多的矩阵排在最前面，次多的排在第二位，以此类推，丢弃数据包最少的矩阵排在最后一位。在下一个周期内，数据包将按照以上顺序依次经过矩阵的检测，并在周期结束时重新统计各个矩阵所丢弃数据包的情况，并根据这些情况调整矩阵的排位顺序。
通过以上方式保证了在新的周期内，数据包首先经过丢弃数据包最多的矩阵，这样就尽可能地减少了数据经历矩阵的数量，从而节省了系统计算资源的开销。
以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (1)

1.基于多层级防御自行调整的DNS安全防护方法，其特征在于：通过多层级自行调整限速防止某一地址段或者对某些域名的查询流量占用太多资源，所述多层级自行调整限速过滤技术实现中，在每一层级别都有不同的过滤策略，不同的过滤策略针对不同的DDoS攻击流量，每一层级别的过滤策略都是一个限速过滤矩阵，DNS请求包依次通过这些限速过滤矩阵做判断，通过的为正常请求包，过滤的为异常的DDoS攻击包；
所述限速过滤矩阵包括：源IP限速过滤矩阵、域名限速矩阵、授信域名过滤矩阵和泛域限速过滤矩阵；
所述源IP限速过滤矩阵判断识别每个源IP的请求是否超过限速阈值，超过的丢弃，具体是将源IP范围划分成各种网段，通过IP网段或单个IP来控制DNS查询；
所述域名限速矩阵判断识别每个域名的请求是否超过限速阈值，超过的丢弃，不同的域名有不同的限速阈值，可进行配置，防止系统遭受单个域名大量DNS请求的流量攻击；
所述授信域名过滤矩阵通过分析一定时间内现网所有的DNS请求应答数据，得到所有应答结果为NoError的域名清单，将这份清单作为可信的域名列表，DNS请求域名在这份可信的列表中的，不做过滤并正常通过；
域名不在这份列表中的DNS查询请求，授信域名过滤矩阵通过聚合分析域名的三级后缀、二级后缀，再做限速过滤；
所述泛域限速过滤矩阵中，如果授信域名列表不全或者不存在，为了应对前缀变化的泛域递归攻击，将通过泛域限速功能进行防护，从域名三级后缀、二级后缀的角度进行聚合统计分析，丢弃递归流量较大的域，在递归性能有限的情况下，保证正常域名的递归；
所述方法还包括矩阵的顺序自行调节技术，所述技术在一定的周期内，统计各个矩阵所丢弃的数据包的数量，并依照数据的大小进行排序，依照这种规则，丢弃数据包越多的矩阵排在最前面，次多的排在第二位，以此类推，丢弃数据包最少的矩阵排在最后一位，在下一个周期内，数据包将按照以上顺序依次经过矩阵的检测，并在周期结束时重新统计各个矩阵所丢弃数据包的情况，并根据这些情况调整矩阵的排位顺序。
CN201810613475.6A 2018-06-14 2018-06-14 基于多层级自行调整限速的流量控制安全防护方法 Active CN108833406B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810613475.6A CN108833406B (zh) 2018-06-14 2018-06-14 基于多层级自行调整限速的流量控制安全防护方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810613475.6A CN108833406B (zh) 2018-06-14 2018-06-14 基于多层级自行调整限速的流量控制安全防护方法

Publications (2)

Publication Number Publication Date
CN108833406A CN108833406A (zh) 2018-11-16
CN108833406B true CN108833406B (zh) 2021-01-12

Family

ID=64141755

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810613475.6A Active CN108833406B (zh) 2018-06-14 2018-06-14 基于多层级自行调整限速的流量控制安全防护方法

Country Status (1)

Country Link
CN (1) CN108833406B (zh)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104702532A (zh) * 2015-02-11 2015-06-10 杭州华三通信技术有限公司 一种业务处理方法和设备
WO2018095375A1 (zh) * 2016-11-23 2018-05-31 贵州白山云科技有限公司 一种dns的防护方法、管理设备及域名解析服务器

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104702532A (zh) * 2015-02-11 2015-06-10 杭州华三通信技术有限公司 一种业务处理方法和设备
WO2018095375A1 (zh) * 2016-11-23 2018-05-31 贵州白山云科技有限公司 一种dns的防护方法、管理设备及域名解析服务器

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
基于多层级限速的DNS安全防护技术应用;刘志军;《广东通信技术》;20160430;正文第4部分 *

Also Published As

Publication number Publication date
CN108833406A (zh) 2018-11-16

Similar Documents

Publication Publication Date Title
CN114095198B (zh) 用于网络安全应用的高效加密sni过滤的方法和系统
US10965716B2 (en) Hostname validation and policy evasion prevention
US9674217B2 (en) Method and system for mitigation of distributed denial of service (DDOS) attacks
EP2739003B1 (en) Systems and methods to detect and respond to distributed denial of service (DDoS) attacks
CN107819727B (zh) 一种基于ip地址安全信誉度的网络安全防护方法及系统
Dai et al. Mitigate DDoS attacks in NDN by interest traceback
JP6006788B2 (ja) ドメイン名をフィルタリングするためのｄｎｓ通信の使用
US9294483B2 (en) Method and system for mitigation of distributed denial of service (DDOS) attacks
US20150350229A1 (en) Network Threat Detection and Mitigation Using a Domain Name Service and Network Transaction Data
US7478429B2 (en) Network overload detection and mitigation system and method
US7735116B1 (en) System and method for unified threat management with a relational rules methodology
US10104119B2 (en) Short term certificate management during distributed denial of service attacks
US8918838B1 (en) Anti-cyber hacking defense system
US12021836B2 (en) Dynamic filter generation and distribution within computer networks
Satam et al. Anomaly Behavior Analysis of DNS Protocol.
US20150033335A1 (en) SYSTEMS AND METHODS TO DETECT AND RESPOND TO DISTRIBUTED DENIAL OF SERVICE (DDoS) ATTACKS
US11811820B2 (en) Malicious C and C channel to fixed IP detection
CN118355631A (zh) 使用加密dns控制互联网访问的系统及方法
Rajendran DNS amplification & DNS tunneling attacks simulation, detection and mitigation approaches
KR102685997B1 (ko) 유해 ip 판단 방법
Fejrskov et al. Detecting DNS hijacking by using NetFlow data
CN108833406B (zh) 基于多层级自行调整限速的流量控制安全防护方法
Jingle et al. Distributed detection of DoS using clock values in wireless broadband networks
Arjmandpanah‐Kalat et al. Design and performance analysis of an efficient single flow IP traceback technique in the AS level
EP4080822A1 (en) Methods and systems for efficient threat context-aware packet filtering for network protection

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant