CN110445779B - 一种dns系统被攻击时的自动保护方法及系统 - Google Patents

Abstract

本发明公开了一种DNS系统被攻击时的自动保护方法及系统，涉及互联网技术领域，主要包括当DNS解析服务队列请求数不小于设定阈值时将报警邮件发送至运维人员，并获取设定时间内的DNS请求日志；然后在DNS请求日志中提取ip数据列，并将在ip数据列中选取的前N个ip请求数据加入系统防火墙；再获取设定时间内的DNS请求日志，重复上述步骤直到DNS解析服务队列请求数小于设定阈值后停止，并在此时触发解封脚本，将被拦截的ip请求数据从系统防火墙去除。采用本发明提供的方法或者系统，实现DNS解析服务攻击时的自动拦截及恢复后的自动解封，保障DNS解析服务正常运行。

Description

一种DNS系统被攻击时的自动保护方法及系统

技术领域

本发明涉及互联网技术领域，特别是涉及一种DNS系统被攻击时的自动保护方法及系统。

背景技术

IDC域名供应商为客户提供域名系统(英文：Domain Name System，缩写：DNS)服务，称为域名系统解析服务。每天都会有成千上万个域名请求DNS解析服务，DNS解析服务业务很重要。而DNS解析服务容易遭受UDP flood攻击，造成DNS解析服务阻塞不可用，所以DNS解析服务需要一个自动拦截攻击的机制，来维护DNS解析服务的稳定可用。在自动拦截攻击源时，可能会有客户IP被黑客利用做攻击源而被自动拦截，或者可能存在被误拦截客户，所以还需要一个自动解封拦截的机制。

发明内容

本发明的目的是提供一种DNS系统被攻击时的自动保护方法及系统，实现DNS解析服务攻击时的自动拦截及恢复后的自动解封，保障DNS解析服务正常运行。

为实现上述目的，本发明提供了如下方案：

一种DNS系统被攻击时的自动保护方法，包括：

步骤一：获取DNS解析服务队列请求数；

步骤二：判断所述DNS解析服务队列请求数是否小于设定阈值，得到第一判断结果；

步骤三：若所述第一判断结果表示所述DNS解析服务队列请求数小于设定阈值，则返回获取DNS解析服务队列请求数步骤；

步骤四：若所述第一判断结果表示所述DNS解析服务队列请求数大于或者等于设定阈值，则将报警邮件发送至运维人员，并获取设定时间内的DNS请求日志；

步骤五：在所述DNS请求日志中提取ip数据列，并从所述ip数据列中选取前N个ip请求数据；

步骤六：将前N个ip请求数据加入系统防火墙，对前N个ip请求数据进行拦截；

步骤七：再获取设定时间内的DNS请求日志，重复步骤五～步骤七，直到所述DNS解析服务队列请求数小于设定阈值后停止；

步骤八：当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，将被拦截的ip请求数据从系统防火墙去除。

可选的，所述获取DNS解析服务队列请求数，具体包括：

对DNS解析服务实时监测，获取监测数据；

对所述监测数据进行处理，提取DNS解析服务队列请求数。

可选的，所述在所述DNS请求日志中提取ip数据列，并从所述ip数据列中选取前N个ip请求数据，具体包括：

在所述DNS请求日志中提取ip数据列；所述ip数据列包括多个ip请求数据；

统计重复的ip请求数据，并记录每种ip请求数据的重复次数；

以每种ip请求数据对应的重复次数为标准，降序排列所述ip数据列中的ip请求数据，并选取前N个ip请求数据。

可选的，在将前N个ip请求数据加入系统防火墙，对前N个ip请求数据进行拦截之后，还包括：创建以当天日期为名称的文件，并将被拦截的ip请求数据追加到所述文件中。

可选的，所述当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，将被拦截的ip请求数据从系统防火墙去除，具体包括：

当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，按照解封约束条件，从所述文件中读取被拦截的ip请求数据，然后将被拦截的ip请求数据从系统防火墙去除。

一种DNS系统被攻击时的自动保护系统，包括：

获取模块，用于获取DNS解析服务队列请求数；

判断模块，用于判断所述DNS解析服务队列请求数是否小于设定阈值，得到第一判断结果；

返回模块，用于当所述第一判断结果表示所述DNS解析服务队列请求数小于设定阈值时，返回获取模块；

报警模块，用于所述第一判断结果表示所述DNS解析服务队列请求数大于或者等于设定阈值时，将报警邮件发送至运维人员，并获取设定时间内的DNS请求日志；

ip请求数据选取模块，用于在所述DNS请求日志中提取ip数据列，并从所述ip数据列中选取前N个ip请求数据；

拦截模块，用于前N个ip请求数据加入系统防火墙，对前N个ip请求数据进行拦截；

停止模块，用于再获取设定时间内的DNS请求日志，返回ip请求数据选取模块，直到所述DNS解析服务队列请求数小于设定阈值后停止；

去除模块，用于当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，将被拦截的ip请求数据从系统防火墙去除。

可选的，所述获取模块，具体包括：

监测数据获取单元，用于对DNS解析服务实时监测，获取监测数据；

提取单元，用于对所述监测数据进行处理，提取DNS解析服务队列请求数。

可选的，所述ip请求数据选取模块，具体包括：

ip数据列提取单元，用于在所述DNS请求日志中提取ip数据列；所述ip数据列包括多个ip请求数据；

重复次数确定单元，用于统计重复的ip请求数据，并记录每种ip请求数据的重复次数；

ip请求数据选取单元，用于以每种ip请求数据对应的重复次数为标准，降序排列所述ip数据列中的ip请求数据，并选取前N个ip请求数据。

可选的，所述自动保护系统还包括：数据保存模块，用于创建以当天日期为名称的文件，并将被拦截的ip请求数据追加到所述文件中。

可选的，所述去除模块，具体包括：

去除单元，用于当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，按照解封约束条件，从所述文件中读取被拦截的ip请求数据，然后将被拦截的ip请求数据从系统防火墙去除。

根据本发明提供的具体实施例，本发明公开了以下技术效果：

本发明提供了一种DNS系统被攻击时的自动保护方法及系统。通过DNS解析服务队列请求数确定拦截时间，通过从DNS请求日志中提取ip数据列，并从ip数据列中选取前N个ip请求数据进行拦截直到DNS解析服务队列请求数小于设定阈值后停止，并当DNS解析服务队列请求数小于设定阈值时触发解封脚本，将被拦截的ip请求数据从系统防火墙去除。本发明提供的方法或者系统实现DNS解析服务攻击时的自动拦截及恢复后的自动解封，保障DNS解析服务正常运行。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例DNS系统被攻击时的自动保护方法的流程图；

图2为本发明实施例DNS系统被攻击时的自动保护方法的结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

实施例一

如图1所示，本实施例提供的了一种DNS系统被攻击时的自动保护方法，包括：

步骤101：获取DNS解析服务队列请求数；

步骤102：判断所述DNS解析服务队列请求数是否小于设定阈值，得到第一判断结果；若所述第一判断结果表示所述DNS解析服务队列请求数小于设定阈值，则返回步骤101；若所述第一判断结果表示所述DNS解析服务队列请求数大于或者等于设定阈值，则执行步骤103。

步骤103：将报警邮件发送至运维人员，并获取设定时间内的DNS请求日志。

步骤104：在所述DNS请求日志中提取ip数据列，并从所述ip数据列中选取前N个ip请求数据。

步骤105：将前N个ip请求数据加入系统防火墙，对前N个ip请求数据进行拦截。

步骤106：再获取设定时间内的DNS请求日志，重复步骤104～步骤106，直到所述DNS解析服务队列请求数小于设定阈值后停止。

步骤107：当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，将被拦截的ip请求数据从系统防火墙去除。

其中步骤101具体包括：

对DNS解析服务实时监测，获取监测数据。

对所述监测数据进行处理，提取DNS解析服务队列请求数。

步骤104具体包括：

在所述DNS请求日志中提取ip数据列；所述ip数据列包括多个ip请求数据。

统计重复的ip请求数据，并记录每种ip请求数据的重复次数。

以每种ip请求数据对应的重复次数为标准，降序排列所述ip数据列中的ip请求数据，并选取前N个ip请求数据。

在步骤105之后，本实施例提供的方法还包括：创建以当天日期为名称的文件，并将被拦截的ip请求数据追加到所述文件中。

步骤107具体包括：

当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，按照解封约束条件，从所述文件中读取被拦截的ip请求数据，然后将被拦截的ip请求数据从系统防火墙去除。

实施例二

如图2所示，本实施例提供的一种DNS系统被攻击时的自动保护系统，包括：

获取模块201，用于获取DNS解析服务队列请求数。

判断模块202，用于判断所述DNS解析服务队列请求数是否小于设定阈值，得到第一判断结果。

返回模块203，用于当所述第一判断结果表示所述DNS解析服务队列请求数小于设定阈值时，返回获取模块201。

报警模块204，用于所述第一判断结果表示所述DNS解析服务队列请求数大于或者等于设定阈值时，将报警邮件发送至运维人员，并获取设定时间内的DNS请求日志。

ip请求数据选取模块205，用于在所述DNS请求日志中提取ip数据列，并从所述ip数据列中选取前N个ip请求数据。

拦截模块206，用于前N个ip请求数据加入系统防火墙，对前N个ip请求数据进行拦截。

停止模块207，用于再获取设定时间内的DNS请求日志，返回ip请求数据选取模块205，直到所述DNS解析服务队列请求数小于设定阈值后停止。

去除模块208，用于当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，将被拦截的ip请求数据从系统防火墙去除。

所述获取模块201，具体包括：

监测数据获取单元，用于对DNS解析服务实时监测，获取监测数据。

提取单元，用于对所述监测数据进行处理，提取DNS解析服务队列请求数。

所述ip请求数据选取模块205，具体包括：

ip数据列提取单元，用于在所述DNS请求日志中提取ip数据列；所述ip数据列包括多个ip请求数据。

重复次数确定单元，用于统计重复的ip请求数据，并记录每种ip请求数据的重复次数。

ip请求数据选取单元，用于以每种ip请求数据对应的重复次数为标准，降序排列所述ip数据列中的ip请求数据，并选取前N个ip请求数据。

所述自动保护系统还包括：数据保存模块，用于创建以当天日期为名称的文件，并将被拦截的ip请求数据追加到所述文件中。

所述去除模块208，具体包括：

去除单元，用于当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，按照解封约束条件，从所述文件中读取被拦截的ip请求数据，然后将被拦截的ip请求数据从系统防火墙去除。

实施例三

本实施例提供的一种DNS系统被攻击时的自动保护方法包括自动拦截攻击步骤和自动IP解封步骤。

自动拦截攻击步骤：

(1)对DNS解析服务实时监控。

(2)请求数阈值设定，超出请求数阈值将报警邮件通知运维人员，并触发远程脚本执行。

(3)统计当前2分钟的DNS请求日志。

(4)截取DNS请求日志的ip数据列，统计重复的ip请求数据，并降序排列。

(5)取排名大于N值的ip请求数据(N值：是异常攻击ip请求数据的个数，大于这个值的ip请求数据为异常ip请求数据)。

(6)将异常ip请求数据加入系统防火墙，对异常ip请求数据请求拦截。

(7)自动创建一张以当天日期命名的文件，将被拦截的ip请求数据追加到这张表。

(8)将3～7步骤每2分钟重复执行一次。

(9)请求数恢复在阈值以下时，阈值警报恢复，触发取消拦截动作的脚本，停止拦截。

自动IP解封步骤：

(1)请求数恢复在阈值以下时，触发脚本。

(2)脚本开始计时，设定24小时后，自动执行ip解封脚本。

(3)从文件读取被拦截的ip请求数据，将被拦截的ip请求数据从防火墙上的拦截规则去除。

拓展优化方案：

关于自动就封的规则可以进一步改进：第一次被封的ip请求数据，24小时后解封；第二次该ip请求数据再次被检查被封，一周后解封；第三次该ip请求数据被检测，一个月后解封；第四次该ip请求数据被封，将永不解封。

与现有技术相比，本发明具有以下优点。

(1)提高DNS运维效率。

(2)降低DNS运维风险。

(3)保证业务稳定可用。。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本发明的限制。

Claims (8)

1.一种DNS系统被攻击时的自动保护方法，其特征在于，所述自动保护方法包括：

步骤一：获取DNS解析服务队列请求数；

步骤二：判断所述DNS解析服务队列请求数是否小于设定阈值，得到第一判断结果；

步骤三：若所述第一判断结果表示所述DNS解析服务队列请求数小于设定阈值，则返回获取DNS解析服务队列请求数步骤；

步骤四：若所述第一判断结果表示所述DNS解析服务队列请求数大于或者等于设定阈值，则将报警邮件发送至运维人员，并获取设定时间内的DNS请求日志；

步骤五：在所述DNS请求日志中提取ip数据列，并从所述ip数据列中选取前N个ip请求数据；

步骤六：将前N个ip请求数据加入系统防火墙，对前N个ip请求数据进行拦截；

步骤七：再获取设定时间内的DNS请求日志，重复步骤五～步骤七，直到所述DNS解析服务队列请求数小于设定阈值后停止；

步骤八：当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，将被拦截的ip请求数据从系统防火墙去除；

所述在所述DNS请求日志中提取ip数据列，并从所述ip数据列中选取前N个ip请求数据，具体包括：在所述DNS请求日志中提取ip数据列；所述ip数据列包括多个ip请求数据；统计重复的ip请求数据，并记录每种ip请求数据的重复次数；以每种ip请求数据对应的重复次数为标准，降序排列所述ip数据列中的ip请求数据，并选取前N个ip请求数据。

2.根据权利要求1所述的DNS系统被攻击时的自动保护方法，其特征在于，所述获取DNS解析服务队列请求数，具体包括：

对DNS解析服务实时监测，获取监测数据；

对所述监测数据进行处理，提取DNS解析服务队列请求数。

3.根据权利要求1所述的DNS系统被攻击时的自动保护方法，其特征在于，在将前N个ip请求数据加入系统防火墙，对前N个ip请求数据进行拦截之后，还包括：创建以当天日期为名称的文件，并将被拦截的ip请求数据追加到所述文件中。

4.根据权利要求3所述的DNS系统被攻击时的自动保护方法，其特征在于，所述当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，将被拦截的ip请求数据从系统防火墙去除，具体包括：

当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，按照解封约束条件，从所述文件中读取被拦截的ip请求数据，然后将被拦截的ip请求数据从系统防火墙去除。

5.一种DNS系统被攻击时的自动保护系统，其特征在于，所述自动保护系统包括：

获取模块，用于获取DNS解析服务队列请求数；

判断模块，用于判断所述DNS解析服务队列请求数是否小于设定阈值，得到第一判断结果；

返回模块，用于当所述第一判断结果表示所述DNS解析服务队列请求数小于设定阈值时，返回获取模块；

报警模块，用于所述第一判断结果表示所述DNS解析服务队列请求数大于或者等于设定阈值时，将报警邮件发送至运维人员，并获取设定时间内的DNS请求日志；

ip请求数据选取模块，用于在所述DNS请求日志中提取ip数据列，并从所述ip数据列中选取前N个ip请求数据；

拦截模块，用于前N个ip请求数据加入系统防火墙，对前N个ip请求数据进行拦截；

停止模块，用于再获取设定时间内的DNS请求日志，返回ip请求数据选取模块，直到所述DNS解析服务队列请求数小于设定阈值后停止；

去除模块，用于当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，将被拦截的ip请求数据从系统防火墙去除；

所述ip请求数据选取模块，具体包括：ip数据列提取单元，用于在所述DNS请求日志中提取ip数据列；所述ip数据列包括多个ip请求数据；重复次数确定单元，用于统计重复的ip请求数据，并记录每种ip请求数据的重复次数；ip请求数据选取单元，用于以每种ip请求数据对应的重复次数为标准，降序排列所述ip数据列中的ip请求数据，并选取前N个ip请求数据。

6.根据权利要求5所述的DNS系统被攻击时的自动保护系统，其特征在于，所述获取模块，具体包括：

监测数据获取单元，用于对DNS解析服务实时监测，获取监测数据；

提取单元，用于对所述监测数据进行处理，提取DNS解析服务队列请求数。

7.根据权利要求5所述的DNS系统被攻击时的自动保护系统，其特征在于，所述自动保护系统还包括：数据保存模块，用于创建以当天日期为名称的文件，并将被拦截的ip请求数据追加到所述文件中。

8.根据权利要求7所述的DNS系统被攻击时的自动保护系统，其特征在于，所述去除模块，具体包括：

去除单元，用于当所述DNS解析服务队列请求数小于设定阈值时触发解封脚本，按照解封约束条件，从所述文件中读取被拦截的ip请求数据，然后将被拦截的ip请求数据从系统防火墙去除。

Images