DNS request flood攻击既可以针对DNS缓存服务器,又可以针对DNS授权服务器。
针对缓存服务器攻击
攻击者直接或间接向DNS缓存服务器发送大量不存在的域名解析请求,会导致缓存服务器不停的向授权服务器发送这些不存在域名的解析请求,一收一发更加重服务器的负担,最终导致DNS缓存服务器超载直到最终导致瘫痪,影响正常业务。
针对授权服务器攻击
如果攻击的是DNS授权服务器,大量不存在的域名解析请求会导致服务器应接不暇,致使DNS服务器严重超载,无法继续响应正常用户的DNS请求,从而达到攻击的目的。
DNS request flood攻击源可能是虚假源,也可能是真实源,针对不同类型的攻击源,采取的防御方式也不同。
针对虚假源攻击缓存服务器
源认证方式可以有效防御DNS request flood虚假源攻击。基于目的地址对DNS Request报文的速率进行统计,当DNS request报文的速率超过阈值时,启动源认证防御。源认证只针对访问受攻击域名的源IP地址实施,以减少误判和避免对正常业务的访问延时。
DNS查询有TCP和UDP两种方式,通常DNS查询都是用的UDP协议,此时TC位置0,但是可以通过将TC位置1,将查询协议改为TCP方式。Anti-DDoS防护系统可以利用修改DNS报文中的TC标识位,对客户端进行认证。源认证主要交互流程如下:
授权服务器源认证(即ns重定向方式),可以有效防御DNS Request Flood虚假源攻击。重定向只针对访问受攻击域名的源IP地址实施,以减少误判和避免对正常业务的访问延时。
基于目的地址对DNS Request报文的速率进行统计,当DNS request报文的速率超过阈值时,启动重定向。
针对真实源攻击
如果是真实源攻击,经过上述防御过程后,通过的DNS报文还很大,则可以继续采用以下方式进行防御。
DNS请求报文限速:对于大流量的DNS request flood攻击也是一种非常有效的防御方式。
DNS request报文限速源IP行为控制,丢弃超出阈值的DNS request报文。
另外还需要对异常DNS报文的检查将非标准格式的DNS报文直接丢弃。
扩展:https://forum.huawei.com/enterprise/zh/thread-361461.html
给微信语音加长进度条,这是很很多微信用户的痛点地址,用户想要从长长的语音中更快地听到重要信息,而不是反复一遍又一遍。可是微信却一直没有添加上这个成果,为什么呢?这么设计背后有什么深意吗?我们又要如何领...
如何用代码装黑客(装黑客代码)(tiechemo.com)一直致力于黑客(HACK)技术、黑客QQ群、信息安全、web安全、渗透运维、黑客工具、找黑客、黑客联系方式、24小时在线网络黑客、黑客业务、黑...
黑龙江省土壤肥沃,水源充足,全省耕地面积15940850.84公顷,占全省土地总面积的33.87%,耕地面积广大,农业生产规模大,农业生产机械化水平高,是全国著名的农业大省。 黑龙江省土地总面积...
春节过完了同学们手中也或多或少有了长辈给的压岁红包,好多同学问我想把电脑显卡简单的升级一下能够玩游戏流畅些,我今天就把显卡类型给大家说说。 显卡N卡的编号说明:N卡的型号由英文字母+数字组成,G...
美国疫情严重是大家都了解的事情,但美国疫情到底严重到什么程度呢?美国以全球4%的人口却占得了全球新冠肺炎20%的比例,美国平均每33人就有1人确诊新冠,目前美国新冠肺炎疫情确诊人数已超1000万!公共...
相信现在有好多小伙伴们拿这手机都在看印度正用牛粪牛尿等研发药物事情吧,因为在这两天印度正用牛粪牛尿等研发药物的热度是非常高的,受到了广大网友们的关注,那么既然现在大家都非常关注印度正用牛粪牛尿等研发药...