[发明专利]一种基于防火墙的DNS防护方法和系统

权利要求书

1.一种基于防火墙的DNS防护方法，其特征在于，所述方法包括：

在防火墙中配置两个或两个以上可信域名服务器的地址；

通过所述地址向与所述地址相对应的可信域名服务器发送对需要进行安全防护的域名进行解析的解析请求并分别接收对应的域名服务器的解析结果；

将所接收的所有所述解析结果进行对比，当所述解析结果一致的解析结果个数达到预定值时，则将一致的所述解析结果加入安全缓存列表中；

将经过防火墙的关于所述域名的应答报文与加入安全缓存列表中所述解析结果进行对比并过滤。

2.根据权利要求1所述的DNS防护方法，其特征在于，所述可信域名服务器为授权域名服务器或者符合预设要求可信度的DNS域名服务器。

3.根据权利要求1所述的DNS防护方法，其特征在于，通过所述地址向与所述地址相对应的可信域名服务器发送对需要进行安全防护的域名进行解析的解析请求，具体为：

通过所述地址定期向与所述地址相对应的可信域名服务器发送解析请求。

4.根据权利要求1所述的DNS防护方法，其特征在于，所述方法还包括：可信域名服务器接收到所述解析请求后，对所述域名分别进行解析得到解析结果，并分别发送所述解析结果。

5.根据权利要求1至4任一项所述的DNS防护方法，其特征在于，所述方法还包括：在防火墙中配置需要进行安全防护的域名。

6.根据权利要求1至4任一项所述的DNS防护方法，其特征在于，所述方法还包括：

累计经过防火墙的关于域名的DNS请求报文数；

当所述DNS请求报文数大于或等于预设阈值后，将所述域名加入域名缓存列表中作为需要进行安全防护的域名。

7.一种基于防火墙的DNS防护系统，其特征在于，所述系统包括:

可信域名服务器配置模块，用于在防火墙中配置两个或两个以上可信域名服务器的地址；

请求模块，所述请求模块与所述可信域名服务器配置模块相连，用于通过所述地址向与所述地址相对应的可信域名服务器发送对需要进行安全防护的域名进行解析的解析请求并分别接收对应的域名服务器的解析结果；

比较添加模块，与请求模块相连，用于将所接收的所有所述解析结果进行对比，当所述解析结果一致的解析结果个数达到预定值时，则将一致的所述解析结果加入安全缓存列表中；对比过滤模块，用于将经过防火墙的关于所述域名的应答报文与加入安全缓存列表中所述解析结果进行对比并过滤。

8.根据权利要求7所述的DNS防护系统，其特征在于，所述请求模块具体用于通过所述地址定期向与所述地址相对应的可信域名服务器发送解析请求。

9.根据权利要求7或8所述的DNS防护系统，其特征在于，所述系统还包括：

域名配置模块，用于在防火墙中配置的需要进行安全防护的域名。

10.根据权利要求7或8所述的DNS防护系统，其特征在于，所述系统还包括：

累计模块，用于累计经过防火墙的关于域名的DNS请求报文数；

域名确定模块，用于当所述DNS请求报文数大于或等于预设阈值后，将所述域名加入域名缓存列表中作为需要进行安全防护的域名。