如何保護(hù)DDoS攻擊下DNS不受影響

DDoS攻擊在如今已經(jīng)層出不窮，一旦遭受DdoS攻擊，就意味著整個(gè)企業(yè)的網(wǎng)絡(luò)服務(wù)暫停了，特別是DNS服務(wù)主機(jī)，那么在DDoS攻擊下保護(hù)DNS這問題十分嚴(yán)重。

如果你的服務(wù)器主機(jī)中運(yùn)行了DNS服務(wù)，那么一定要小心DdoS這個(gè)很現(xiàn)實(shí)的攻擊行為。而如果你的DNS服務(wù)遭受到了DdoS攻擊，那么可以想象，最低的損失也是丟失電子郵件和暫停Web服務(wù)。而如果你的DNS服務(wù)主機(jī)位于企業(yè)內(nèi)部，并且與企業(yè)用戶的網(wǎng)絡(luò)瀏覽等服務(wù)共用網(wǎng)絡(luò)連接，那么一旦遭受DdoS攻擊，就意味著整個(gè)企業(yè)的網(wǎng)絡(luò)服務(wù)暫停了。就算你的DNS服務(wù)只是用于測試或其它有限的目的，一旦被攻擊，所波及的范圍也會(huì)很廣。

其它會(huì)威脅到DNS的情況還包括對外網(wǎng)開啟FTP服務(wù)，這個(gè)服務(wù)本來不應(yīng)該從企業(yè)內(nèi)部對外開放的。因?yàn)楣芾韱T都明白，一旦你這樣做了，黑客和各種機(jī)器人程序會(huì)通過各種手段，包括暴力破解方式，來取得FTP的賬戶和密碼。就算你采用了很復(fù)雜的密碼，當(dāng)多個(gè)暴力破解程序運(yùn)行時(shí)，由此產(chǎn)生的失敗的FTP訪問流量就足以耗光網(wǎng)絡(luò)資源。

總之，企業(yè)自己搭建和管理DNS總會(huì)存在一定程度的安全風(fēng)險(xiǎn)。換句話說，目前公認(rèn)的較好的解決方案就是DNS服務(wù)托管。對于那些還沒有為自己管理DNS服務(wù)做好萬全準(zhǔn)備的企業(yè)來說，唯一的建議就是找個(gè)信任ISP或其它專業(yè)的托管機(jī)構(gòu)，將這個(gè)事兒交給他們?nèi)プ觥?/p>

之所以撰寫這篇文章，也是因?yàn)槲医?jīng)歷了一場真實(shí)的DdoS攻擊。當(dāng)時(shí)的受害者是位于北美的一個(gè)小辦公室，擁有一個(gè)DSL路由器和一個(gè)靜態(tài)IP地址。辦公室的服務(wù)器對外開啟了DNS。被攻擊的早期征兆有兩點(diǎn)，一是接收到的電子郵件數(shù)量比平時(shí)有所下降，二是Web瀏覽速度下降。在經(jīng)過幾天的不良癥狀后，該辦公室再也收不到來自外界的電子郵件了，同時(shí)也無法進(jìn)行網(wǎng)絡(luò)瀏覽了。使用最簡單的ping命令到互聯(lián)網(wǎng)大型網(wǎng)站地址，得到的結(jié)果要么是失敗，要么就是超過1000ms的響應(yīng)時(shí)間，這也基本算是無法連接了。

很明顯此時(shí)有某個(gè)網(wǎng)絡(luò)進(jìn)程充斥在DSL連接中。辦公室中的每臺(tái)電腦都關(guān)機(jī)重啟了，并沒有解決問題。重啟DSL也沒有解決問題。但是在重啟DNS服務(wù)器后，會(huì)有短暫的時(shí)間恢復(fù)到正常的互聯(lián)網(wǎng)連接狀態(tài)，幾分鐘后，這種正常的連接速度再次變得不正常，并很快無法連接任何網(wǎng)站?？紤]到可能是電子郵件系統(tǒng)或基于Web的進(jìn)程出現(xiàn)故障，便先后將服務(wù)器中的Exchange服務(wù)和Web服務(wù)關(guān)停，但是沒有效果。在接下來的逐項(xiàng)嘗試中，我們發(fā)現(xiàn)關(guān)閉DNS服務(wù)會(huì)產(chǎn)生明顯的效果，于是我們最終將問題鎖定在DNS服務(wù)上。

但是DNS服務(wù)的日志中并沒有任何警告事件，而且服務(wù)器本身也安裝了最新的補(bǔ)丁，包括DNS服務(wù)補(bǔ)丁和DoS溢出補(bǔ)丁。另一個(gè)找尋線索的位置就是防火墻的日志文件。雖然這個(gè)辦公室的防火墻沒有歷史日志文件，但是我們可以查看選定網(wǎng)絡(luò)協(xié)議的實(shí)時(shí)日志。從實(shí)時(shí)的防火墻日志可以觀察到，有兩個(gè)互聯(lián)網(wǎng)上的IP地址在不斷向辦公室的服務(wù)器發(fā)送DNS請求數(shù)據(jù)。這兩個(gè)IP地址所代表的服務(wù)器都位于歐洲，分別屬于兩個(gè)不同的國家，但是它們都在向這個(gè)相同的DNS服務(wù)地址發(fā)送大量的數(shù)據(jù)。如果有兩個(gè)或兩個(gè)以上的遠(yuǎn)程地址在進(jìn)行DoS攻擊，就可以將其歸類為DDoS攻擊，即分布式DoS攻擊。。

一旦你知道了攻擊方的IP地址，就可以簡單在防火墻中設(shè)置一個(gè)IP規(guī)則，阻止來自該IP地址的任何數(shù)據(jù)通過防火墻。在我們阻止了一個(gè)IP地址后，ping主流網(wǎng)站的結(jié)果已經(jīng)達(dá)到300ms了。當(dāng)我們將第二個(gè)IP地址阻擋后，ping主流網(wǎng)站的結(jié)果已經(jīng)恢復(fù)到正常水平，大概30ms，并且所有網(wǎng)絡(luò)功能恢復(fù)了正常。這個(gè)辦公室很幸運(yùn)，所遭受的DDoS攻擊只有兩個(gè)攻擊源，兩個(gè)固定IP地址。如果攻擊源有幾十甚至上百個(gè)（或者攻擊源IP地址是變化的），該辦公室的處境就艱難的多了，同時(shí)對日常業(yè)務(wù)的沖擊也會(huì)更大。

正如我前面提到的，防止DNS服務(wù)器遭遇DDoS攻擊的最佳方案是將DNS服務(wù)交給DNS服務(wù)供應(yīng)商去實(shí)現(xiàn)，比如你的ISP或知名的DNS注冊機(jī)構(gòu)，或者可靠的托管機(jī)構(gòu)。雖然這種做法無法從根本上杜絕黑客對于供應(yīng)商展開DoS攻擊的威脅，但是起碼能夠防止在發(fā)生DoS攻擊時(shí)，你企業(yè)的各種網(wǎng)絡(luò)功能會(huì)不受影響。

如果出于某種原因，你必須要在企業(yè)內(nèi)部建立DNS服務(wù)，那么一定要制定一個(gè)針對DNSDoS攻擊的應(yīng)對策略。比如在不同地點(diǎn)建立多個(gè)DNS服務(wù)器，使用強(qiáng)化或?qū)Ｓ玫腄NS服務(wù)器或應(yīng)用程序并采用獨(dú)立的互聯(lián)網(wǎng)連接線路。Verisign在2011年5月發(fā)布了一份DNS可用性狀態(tài)報(bào)告，確認(rèn)就算是最頂級(jí)的電子商務(wù)網(wǎng)站，其DNS的可用性也面臨潛在風(fēng)險(xiǎn)，尤其是那些自己建立和管理DNS服務(wù)的企業(yè)。