DNS(域名系统,DNS)是一个域名和IP地址映射的分布式数据库。合肥惠普笔记本维修电话DNS是网络应用的基础设施,其安全互联网的安全有着举足轻重的影响。但由于DNS协议自身的设计缺陷、安全保护和认证机制不健全,导致更多的DNS的存在安全隐患,使其非常容易受到攻击。许多专家已经提出了很多DNS协议的安全缺陷的技术解决方案。例如,域名系统安全协议IETF提出的法案同样(域名系统安全、域名系统安全扩展),它的目标是解决潜在的安全隐患。这个协议增加了安全认证项目,增强的安全协议本身的功能。但是新的安全机制需要占用更多的系统和网络资源,并升级数据库和系统Manggament软件,该软件法案同样基于域名系统安全扩展协议尚未成熟,距离和推广和应用很长时间了。目前,常见的措施是定期更新DNS软件和加强相关的安全配置,禁用安全端口等。本文根据听众的DNS ID欺诈(DNS ID欺骗)是本文中讨论,并提出了相关的保护解决方案。
一、DNS SERVER的服务工作过程
DNS是一种域名和IP地址之间的转换系统,它的工作原理是两者之间的相互映射,相当于翻译效果,所谓的DNS。DNS系统分为服务器和客户端两个部分,一般的港口是53岁。服务器当客户机向服务器解析请求,第一步在当地的DNS服务器的数据库查询是否有需求,如果你有发送应答数据包并给出相应的结果;否则它将查询的DNS服务器层。连续查询,直到你找到相应的最终结果或查询故障信息反馈给客户端。如果本地DNS服务器检查信息,第一个将其保存在本地缓存中,然后向客户发送一个响应。每天我们上网浏览器,通过申请域名到IP地址解析,即客户端应用程序提交DNS服务器域名翻译,希望得到相应的IP地址。这与作者的大学为例,说明了DNS的工作原理。
例如,客户端地址10.252.2.16、DNS服务器218.30.19.40学校,从客户机访问西安财经学院的网站。类型在学校网站www.xaufe.edu.cn在地址栏,通过找到其相应的DNS服务器的IP地址。这个应用程序从一个随机端口10.252.2.16发出,收到218.30.19.40 53端口绑定到翻译这个应用程序,首先的缓存218.30.19.40找到www.xaufe.edu.cn的IP地址,如果有相应的映射关系,直接发送到客户机的IP地址,如果缓存中没有,联系上DNS服务器218.30.19.40,最后将查询结果第一个发送到218.30.19.40,最后由218.30.19.40将西安财经学院的IP地址S(281.195.32.1)回客户机10.252.2.16。所以10.252.2.16可以和xi '一个财经学院建立连接和访问该网站。
二、DNS欺骗攻击原理
2.1 欺骗原理
Client的DNS查询请求和DNS Server的应答数据包是依靠DNS报文的ID标识来相互对应的。在进行域名解析时，Client首先用特定的ID号向DNS Server发送域名解析数据包，这个ID是随机产生的。DNS Server找到结果后使用此ID给Client发送应答数据包。Client接收到应答包后，将接收到的ID与请求包的ID对比，如果相同则说明接收到的数据包是自己所需要的，如果不同就丢弃此应答包。根据攻击者的查询和应答原理，可使用不同方法实现攻击，如：
(1)因为DNS Message仅使用一个简单的认证码来实施真实性验证，认证码是由Client程序产生并由DNS Server返回结果的，客户机只是使用这个认证码来辨别应答与申请查询是否匹配，这就使得针对ID认证码的攻击威胁成为可能。
(2)在DNS Request Message中可以增加信息，这些信息可以与客户机所申请查询的内容没有必然联系，因此攻击者就能在Request Message中根据自己的目的增加某些虚假的信息，比如增加其它Domain Server的Domain Name及其IP Address.此时Client在受到攻击的Domain Server上的查询申请均被转向此前攻击者在Request Message中增加的虚假Domain Server，由此DNS欺骗得以产生并对网络构成威胁。
(3)当DNS Server接收到Domain Name和IP Address相互映射的数据时，就将其保存在本地的Cache中。若再有Client请求查询此Domain Name对应的IP Address，Domain Server就会从Cache中将映射信息回复给Client，而无需在Database中再次查询。如果黑客将DNS Request Message的存在周期设定较长时间，就可进行长期欺骗。
2.2 DNS欺骗攻击的方式
DNS欺骗技术常见的有内应攻击和序列号攻击两种。内应攻击即黑客在掌控一台DNS Server后，对其Domain Database内容进行更改，将虚假IP Address指定给特定的Domain Name，当Client请求查询这个特定域名的IP时，将得到伪造的IP.
序列号攻击是指伪装的DNS Server在真实的DNS Server之前向客户端发送应答数据报文，该报文中含有的序列号ID与客户端向真实的DNS Server发出请求数据包中含有的ID相同，因此客户端会接收该虚假报文，而丢弃晚到的真实报文，这样DNS ID序列号欺骗成功。客户机得到的虚假报文中提供的域名的IP是攻击者设定的IP，这个IP将把客户带到攻击者指定的站点。
2.3 DNS 序列号欺骗攻击原理
DNS 序列号(ID)欺骗以侦测ID和Port为基础。合肥惠普笔记本维修电话在Switch构建的网络中，攻击方首先向目标实施ARP欺骗。当Client、攻击者和DNS Server同在一个网络时，攻击流程如下：①攻击方向目标反复发送伪造的ARP Request Message，修改目标机的ARP 缓存内容，同时依靠IP续传使Data经过攻击方再流向目的地;攻击方用Sniffer软件侦测DNS请求包，获取ID序列号和Potr;②攻击方一旦获得ID和Potr，即刻向客户机发送虚假的DNS Request Message，Client接收后验证ID和Potr正确，认为接收了合法的DNS应答;而Client得到的IP可能被转向攻击方诱导的非法站点，从而使Client信息安全受到威胁;③Client再接收DNS Server的Request Message，因落后于虚假的DNS响应，故被Client丢弃。当Client访问攻击者指向的虚假IP时，一次DNS ID欺骗随即完成。
三、DNS欺骗检测和防范思路
3.1 检测思路
发生DNS欺骗时，Client最少会接收到两个以上的应答数据报文，报文中都含有相同的ID序列号，一个是合法的，另一个是伪装的。据此特点，有以下两种检测办法：
(1)被动监听检测。即监听、检测所有DNS的请求和应答报文。通常DNS Server对一个请求查询仅仅发送一个应答数据报文(即使一个域名和多个IP有映射关系，此时多个关系在一个报文中回答)。因此在限定的时间段内一个请求如果会收到两个或以上的响应数据报文，则被怀疑遭受了DNS欺骗。
(2)主动试探检测。即主动发送验证包去检查是否有DNS欺骗存在。通常发送验证数据包接收不到应答，然而黑客为了在合法应答包抵达客户机之前就将欺骗信息发送给客户，所以不会对DNS Server的IP合法性校验，继续实施欺骗。若收到应答包，则说明受到了欺骗攻击。
3.2 防范思路
在侦测到网络中可能有DNS欺骗攻击后，防范措施有：①在客户端直接使用IP Address访问重要的站点，从而避免DNS欺骗; ②对DNS Server和Client的数据流进行加密，Server端可以使用SSH加密协议，Client端使用PGP软件实施数据加密。
对于常见的ID序列号欺骗攻击，采用专业软件在网络中进行监听检查，在较短时间内，客户端如果接收到两个以上的应答数据包，则说明可能存在DNS欺骗攻击，将后到的合法包发送到DNS Server并对DNS数据进行修改，这样下次查询申请时就会得到正确结果。
四、DNS防护方案
4.1 进行IP地址和MAC地址的绑定
(1)预防ARP欺骗攻击。因为DNS攻击的欺骗行为要以ARP欺骗作为开端，所以如果能有效防范或避免ARP欺骗，也就使得DNS ID欺骗攻击无从下手。例如可以通过将Gateway Router 的Ip Address和MAC Address静态绑定在一起，就可以防范ARP攻击欺骗。
(2)DNS信息绑定。DNS欺骗攻击是利用变更或者伪装成DNS Server的IP Address，因此也可以使用MAC Address和IP Address静态绑定来防御DNS欺骗的发生。由于每个Network Card的MAC Address具有唯一性质，所以可以把DNS Server的MAC Address与其IP Address绑定，然后此绑定信息存储在客户机网卡的Eprom中。当客户机每次向DNS Server发出查询申请后，就会检测DNS Server响应的应答数据包中的MAC Address是否与Eprom存储器中的MAC Address相同，要是不同，则很有可能该网络中的DNS Server受到DNS欺骗攻击。这种方法有一定的不足，因为如果局域网内部的客户主机也保存了DNS Server的MAC Address，仍然可以利用MAC Address进行伪装欺骗攻击。
4.2 使用Digital Password进行辨别
在不同子网的文件数据传输中，为预防窃取或篡改信息事件的发生，可以使用任务数字签名(TSIG)技术即在主从Domain Name Server中使用相同的Password和数学模型算法，在数据通信过程中进行辨别和确认。因为有Password进行校验的机制，从而使主从Server的身份地位极难伪装，加强了Domain Name信息传递的安全性。
安全性和可靠性更好的Domain Name Service是使用域名系统的安全协议(Domain Name System Security， DNSSEC))，用Digital Signature的方式对搜索中的信息源进行分辨，对DATA的完整性实施校验，DNSSEC的规范可参考RFC2605.因为在设立Domain时就会产生Password，同时要求上层的Domain Name也必须进行相关的Domain Password Signature，显然这种方法很复杂，所以InterNIC域名管理截至目前尚未使用。然而就技术层次上讲，DNSSEC应该是现今最完善的Domain Name设立和解析的办法，对防范Domain Name欺骗攻击等安全事件是非常有效的。
4.3 优化DNS SERVER的相关项目设置
DNS服务器的优化来达到一个更高的标准DNS安全、共同工作有以下几种:(1)使用不同的子网物理独立的域名服务器,从而获得多余的DNS功能;(2)内部和外部域名服务器物理分离和使用代理中继器。外部域名服务器可以进行任何查询客户机应用程序,但你不能,货代代理设置为只接收客户机应用程序查询;(3)技术措施来限制DNS动态更新;(4)转移区域(区域转移)将仅限于授权的设备;(5)交易签名是用来分析区域传播和更新数字签名;结合这些隐藏的服务器版本;7)删除不必要的服务运行在DNS服务器,如FTP、Telnet、和Http;今天使用防火墙在网络和DNS服务器,限制访问DNS功能需要的端口。
4.4 直接使用IP地址访问
对个别信息安全等级要求十分严格的WEB站点尽量不要使用DNS进行解析。由于DNS欺骗攻击中不少是针对窃取客户的私密数据而来的，而多数用户访问的站点并不涉及这些隐私信息，因此当访问具有严格保密信息的站点时，可以直接使用IP地址而无需通过DNS解析，这样所有的DNS欺骗攻击可能造成的危害就可以避免了。除此，应该做好DNS Server的安全配置项目和升级DNS软件，合理限定DNS Server进行响应的IP地址区间，关闭DNS Server的递归查询项目等。
4.5 对DNS数据包进行监测
在DNS欺骗攻击中，Client会接收到至少两个DNS的数据响应包，一个是真实的数据包，另一个是攻击数据包。欺骗攻击数据包为了抢在真实应答包之前回复给Client，它的信息数据结构与真实的数据包相比十分简单，只有应答域，而不包括授权域和附加域。因此，可以通过监测DNS响应包，遵循相应的原则和模型算法对这两种响应包进行分辨，从而避免虚假数据包的攻击。
五、结束语
摘要DNS和DNS欺骗的原则,DNS欺骗攻击,合肥惠普笔记本维修电话检测和预防的思想是本文所讨论的,最后给出了一些常用的方法来防止DNS欺骗。相信这些解决方案的应用,可以显著提高DNS安全性和可靠性。但网络日新月异的发展和应用,也在实践中不断跟上技术变革的步伐,不断学习和总结是对各种新类型的有效DNS失败。
