[发明专利]一种基于防火墙的DNS防护方法和系统

说明书

技术领域

本发明属于网络安全技术领域，具体涉及一种基于防火墙的DNS防护方法和系统。

背景技术

域名系统(Domain Name System，DNS)作为因特网上域名和IP地址相互映射的一个分布式数据库，具有数据庞大、资源开放、结构复杂的特性，因此，在设计之初，无法全面考虑DNS的安全性，再加上DNS进入运营后人为的恶意攻击和破坏，导致DNS面临非常严重的安全威胁。

目前大多数防火墙都设计有DNS防护模块，来对DNS攻击进行有效的拦截处理。其中一种拦截DNS攻击的方法，就是在防火墙的DNS防护模块中手动添加安全缓存，并对相应的DNS应答报文进行检查，将应答报文的检查结果与之前已经添加的安全缓存进行对比，如果应答报文的检查结果与安全缓存不一致则丢掉该应答报文，从而达到过滤的效果。

但是，现有技术中的安全缓存，是通过手动的方式添加的，一方面需要用户投入时间和精力，另外一个方面这种添加方式不灵活。

发明内容

本发明的目的是提供一种DNS防护方法和系统，通过确认的方式添加安全缓存，灵活、有效的拦截DNS攻击。

根据本发明的一个方面，提供了一种基于防火墙的DNS防护方法，所述方法包括：

在防火墙中配置两个或两个以上可信域名服务器的地址；

通过所述地址向与所述地址相对应的可信域名服务器发送对需要进行安全防护的域名进行解析的解析请求并分别接收对应的域名服务器的解析结果；

将所接收的所有所述解析结果进行对比，当所述解析结果一致的解析结果个数达到预定值时，则将一致的所述解析结果加入安全缓存列表中；

将经过防火墙的关于所述域名的应答报文与加入安全缓存列表中所述解析结果进行对比并过滤。

上述方案中，所述可信域名服务器为授权域名服务器或者符合预设要求可信度的DNS域名服务器。

上述方案中，通过所述地址向与所述地址相对应的可信域名服务器发送对需要进行安全防护的域名进行解析的解析请求，具体为：

通过所述地址定期向与所述地址相对应的可信域名服务器发送解析请求。

上述方案中，所述方法还包括：可信域名服务器接收到所述解析请求后，对所述域名分别进行解析得到解析结果，并分别发送所述解析结果。

上述方案中，所述方法还包括：在防火墙中配置需要进行安全防护的域名。

上述方案中，所述方法还包括：

累计经过防火墙的关于域名的DNS请求报文数；

当所述DNS请求报文数大于或等于预设阈值后，将所述域名加入域名缓存列表中作为需要进行安全防护的域名。

根据本发明的另一个方面，还提供了一种基于防火墙的DNS防护系统，所述系统包括:

可信域名服务器配置模块，用于在防火墙中配置两个或两个以上可信域名服务器的地址；

请求模块，所述请求模块与所述可信域名服务器配置模块相连，用于通过所述地址向与所述地址相对应的可信域名服务器发送对需要进行安全防护的域名进行解析的解析请求并分别接收对应的域名服务器的解析结果；

比较添加模块，与请求模块相连，用于将所接收的所有所述解析结果进行对比，当所述解析结果一致的解析结果个数达到预定值时，则将一致的所述解析结果加入安全缓存列表中；

对比过滤模块，用于将经过防火墙的关于所述域名的应答报文与加入安全缓存列表中所述解析结果进行对比并过滤。

上述方案中，所述请求模块具体用于通过所述地址定期向与所述地址相对应的可信域名服务器发送解析请求。

上述方案中，所述系统还包括：

域名配置模块，用于在防火墙中配置的需要进行安全防护的域名。

上述方案中，所述系统还包括：

累计模块，用于累计经过防火墙的关于域名的DNS请求报文数；

域名确定模块，用于当所述DNS请求报文数大于或等于预设阈值后，将所述域名加入域名缓存列表中作为需要进行安全防护的域名。