[发明专利]一种域名请求攻击的防御方法及系统

权利要求书

1.一种域名请求攻击的防御方法，应用于防火墙，其特征在于，包括：

对请求原始域名的超过预定报文数量的第一域名解析查询报文拦截，提取所述第一域名解析查询报文的源IP地址；

判断所述源IP地址是否在白名单中；

若所述源IP地址不在白名单中，则基于随机产生的第一字符串和所述第一域名解析查询报文对所述第一域名解析查询报文进行第一次重定向，生成重定向域名；

若能够接收到基于所述重定向域名返回的第二域名解析查询报文，对所述第二域名解析查询报文进行第二次重定向，重定向到原始域名，并将所述源IP地址添加到白名单中，原始域名对应于第一域名解析查询报文所查询的域名。

2.根据权利要求1所述的防御方法，其特征在于，在所述对请求原始域名的超过预定报文数量的第一域名解析查询报文拦截的步骤之前，还包括：

检测接收到的第一域名解析查询报文的数量；

当检测到所述第一域名解析查询报文的数量超过预定报文数量时，开启域名解析请求洪水防御业务对超过报文阈值后的第一域名解析查询报文进行拦截。

3.根据权利要求1-2中任一项所述的防御方法，其特征在于，

当所述源IP地址在白名单中时，提取第一域名解析查询请求的目标IP地址；

基于目标IP地址，将所述第三域名解析查询请求发送给目标IP地址对应的域名解析服务器。

4.根据权利要求1-2中任一项所述的防御方法，其特征在于，在所述重定向到原始域名的步骤之后，还包括：

提取所述第一域名解析查询的目标IP地址；

基于所述目标IP地址，将所述第二域名解析查询请求发送给目标IP地址对应的域名解析服务器。

5.一种域名请求攻击的防御系统，应用于防火墙，其特征在于，包括：

提取模块(100)，用于对请求原始域名的超过预定报文数量的第一域名解析查询报文拦截，提取所述第一域名解析查询报文的源IP地址；

判断模块(200)，用于判断所述源IP地址是否在白名单中；

重定向域名模块(300)，用于若所述源IP地址不在白名单中，则基于随机产生的第一字符串和所述第一域名解析查询报文对所述第一域名解析查询报文进行第一次重定向，生成重定向域名；

第一接收模块(400)，用于接收到基于所述重定向域名返回的第二域名解析查询报文；

所述重定向域名模块(300)，还用于若第一接收模块(400)能够接收到所述第二域名解析查询报文，对所述第二域名解析查询报文进行第二次重定向，重定向到原始域名，并将所述源IP地址添加到白名单中，原始域名对应于第一域名解析查询报文所查询的域名。

6.根据权利要求5所述的防御系统，其特征在于，所述提取模块(100)，还包括：

检测单元(110)，用于检测接收到的第一域名解析查询报文的数量；

拦截单元(120)，用于当所述检测单元(110)检测到所述第一域名解析查询报文的数量超过预定报文数量时，开启域名解析请求洪水防御业务对超过报文阈值后的第一域名解析查询报文进行拦截。

7.根据权利要求5-6中任一项所述的防御系统，其特征在于，

所述提取模块(100)，还用于当所述源IP地址在白名单中时，提取第一域名解析查询请求的目标IP地址。

8.根据权利要求5-6中任一项所述的防御系统，其特征在于，所述系统还包括：

第一发送模块(500)，用于基于目标IP地址，将所述第三域名解析查询请求发送给目标IP地址对应的域名解析服务器。

9.根据权利要求5所述的防御系统，其特征在于，

所述提取模块(100)，还用于提取所述第一域名解析查询的目标IP地址；

第一发送模块(500)，还用于基于所述目标IP地址，将所述第二域名解析查询请求发送给目标IP地址对应的域名解析服务器。

10.一种防火墙，其特征在于，所述防火墙内设置有权利要求5-9所述的域名请求攻击的防御系统。