[发明专利]DNS攻击防护方法及系统

说明书

本发明公开了一种DNS攻击防护方法及系统，其中所述方法包括如下步骤：通过内核态中的钩子程序获取网卡接收到的DNS报文，所述钩子程序触发直接对数据链路接收路径的报文处理；与所述钩子程序连接的BPF程序，所述BPF程序加载于所述钩子程序中实施至少包括在网络协议栈之前执行丢弃或允许通过的处理。本发明可以减少资源开销的水平，提高恶意攻击的防护能力。

技术领域

本发明涉及计算机网络通信技术领域，尤其涉及一种DNS攻击防护方法及系统。

背景技术

DNS（Domain Name System，域名系统）提供了互联网上的一个重要服务，其本质是建立了人的名字世界和底层的二进制协议地址世界的桥梁。它作为将域名和IP地址相互映射的一个分布式数据库，能够使人更方便地访问互联网，而不用去记住能够被机器直接读取的 IP地址数串，通过域名最终得到该域名对应的 IP 地址的过程叫做域名解析。

实现域名解析的架构包括递归DNS服务器及权威DNS服务器等，他们通常暴露在互联网的公共空间中，供任意公众去查询，因此伴随而来的也就会存在相应的恶意攻击，如DDOS（Distributed denial of service attack，分布式拒绝服务攻击）攻击。现有DNS服务器及相应软件的运行机制导致需要大量的硬件资源，特别是花费内存等开销，当DNS服务器遭受大流量攻击的情况下，就会更加放大相应的开销，甚至超过处理性能的阈值，导致DNS服务器不能正常提供服务。

发明内容

本发明的目的在于提供一种DNS攻击防护方法及系统，解决了现有技术中DNS系统资源开销非常大，抗恶意攻击的能力不强，存在安全性瓶颈的技术问题。

为了解决上述技术问题，本发明的一种DNS攻击防护方法，包括如下步骤：

通过内核态中的钩子程序获取网卡接收到的DNS报文，所述钩子程序触发直接对数据链路接收路径的报文处理；

与所述钩子程序连接的BPF程序，所述BPF程序加载于所述钩子程序中实施至少包括在网络协议栈之前执行丢弃或允许通过的处理。

作为本发明上述DNS攻击防护方法的进一步改进，所述BPF程序为字节码，加载于所述钩子程序中以实现对内核态网卡驱动的更新。

作为本发明上述DNS攻击防护方法的进一步改进，所述BPF程序执行的处理是基于数据采集分析组件的抽样分析生成的规则。

作为本发明上述DNS攻击防护方法的进一步改进，所述数据采集分析组件加载于所述钩子程序中基于特定的归纳模型判断DNS报文的特征以确定恶意流量。

作为本发明上述DNS攻击防护方法的进一步改进，所述BPF程序执行的处理由规则管理组件更新下发。

为了解决上述技术问题，本发明的一种DNS攻击防护系统，包括：

钩子单元，用于通过内核态中的钩子程序获取网卡接收到的DNS报文，所述钩子程序触发直接对数据链路接收路径的报文处理；

BPF单元，包括与所述钩子程序连接的BPF程序，所述BPF程序加载于所述钩子程序中实施至少包括在网络协议栈之前执行丢弃或允许通过的处理。

作为本发明上述DNS攻击防护系统的进一步改进，在所述BPF单元中，所述BPF程序为字节码，加载于所述钩子程序中以实现对内核态网卡驱动的更新。

作为本发明上述DNS攻击防护系统的进一步改进，在所述BPF单元中，所述BPF程序执行的处理是基于数据采集分析组件的抽样分析生成的规则。

作为本发明上述DNS攻击防护系统的进一步改进，所述数据采集分析组件加载于所述钩子程序中基于特定的归纳模型判断DNS报文的特征以确定恶意流量。

作为本发明上述DNS攻击防护系统的进一步改进，在所述BPF单元中，所述BPF程序执行的处理由规则管理组件更新下发。