防护性DNS服务关键技术研究综述

域名系统(domain name system,DNS)作为互联网资源的名字标识服务,提供了从域名到IP地址的查询转换功能,是用户访问互联网应用的入口,也是用户侧安全威胁感知与防御的关键点。用户侧常见的DNS滥用及相关安全威胁有:网络钓鱼、域名不良应用、恶意软件以及利用DNS进行攻击等。防护性DNS(protective DNS,PDNS)服务是一种利用DNS协议和架构的网络安全防护技术,通过对DNS查询进行威胁检测与处置,能够从源头上阻止用户对网络钓鱼网站、不良网站、恶意软件的访问。目前学界对PDNS服务还缺少系统的介绍与研究。对PDNS已有研究工作、应用现状及架构与功能进行系统梳理,对PDNS所涉及的关键技术进行系统综述,主要包括域名威胁处置技术、DNS异常检测技术、威胁情报管理技术和数据存储管理技术,分析PDNS目前面临的问题与挑战,并对PDNS未来发展趋势与研究方向提出了展望。

多校区校园网一体化DNS网络架构研究

高校多校区一体化管理中,校区间人员流动频繁,如何保证学校师生在不同校区获得一致的上网体验成为一个难题。除了加快建设多活数据中心,实现重要信息系统的容灾备份体系之外,网络基础设施服务域名系统(Domain Name System,DNS)的一体化部署也面临新挑战。以河海大学南京校区和常州校区为例,通过多活容灾网络架构等技术手段部署一体化智能DNS服务,有效解决网络拥塞和信息系统访问瓶颈的问题,同时提升DNS管理的便捷性和服务的安全可靠性,对相关应用场景具有一定参考价值。

基于RF-RNN模型的DNS隐蔽信道检测方法

为提高检测隐蔽信道的灵敏度,提出一种基于随机森林(Random Forest,RF)和循环神经网络(Recurrent Neural Network,RNN)的域名系统(Domain Name System,DNS)隐蔽信道检测方法。该方法采用域名检测作为主要手段,使用RF模型对域名进行分类,通过深度学习方法挖掘更高阶的特征表示。实验结果表明,与单一模型相比,该方法在检测准确性和健壮性方面均取得了显著提升。

递归侧DNS安全研究与分析

因特网用户在访问网络应用前都需要通过DNS进行解析,DNS安全是保障网络正常运行的第1道门户,如果DNS的安全不能得到有效保证,即使网络其他系统安全防护措施级别再高,攻击者也可以通过攻击DNS系统使网络无法正常使用.目前DNS恶性事件仍有上升趋势,DNS攻击检测和防御技术的发展仍不能满足现实需求.从直接服务用户DNS请求的递归解析服务器视角出发,将DNS安全事件通过两种分类方法,全面梳理和总结DNS工作过程中面临的安全问题,包括由攻击或系统漏洞等引起各类安全事件,各类安全事件的具体检测方法,各类防御保护技术.在对各类安全事件、检测和防御保护技术总结的过程中,对相应典型方法的特点进行分析和对比,并对未来DNS安全领域的研究方向进行展望.

递归侧DNSSEC错误配置检测能力大规模探测分析

DNSSEC(domain name system security extensions)是一种域名系统(DNS,domain name system)的安全扩展协议,通过为DNS记录添加签名来增加DNS的安全性。域名递归服务器能否有效验证DNSSEC配置的正确性,并且在配置错误时返回相应的错误类型,对保障整个DNS的安全至关重要。为此,基于RFC 8914标准,选择了8种在权威侧可配置的DNSSEC错误类型,并在8个不同的子域分别配置了相应的DNSSEC错误。接下来,面向全球范围内的公共DNS服务器,筛选出其中支持DNSSEC的递归服务器作为探测对象,针对上述8个子域发起解析请求,对探测结果进行了收集、分析及可视化。探测结果表明,对于部分错误,多数支持DNSSEC的递归服务器可以正确地检测出域名的DNSSEC错误配置,并且返回相应的错误类型,如signature_expired、signature_not_valid、RRSIG_missing、DNSKEY_missing等错误。对当前全球范围内重要递归服务器检测DNSSEC错误配置的能力开展了大规模测量分析,可有效指导未来DNSSEC广泛部署中递归侧的能力建设。

递归-权威侧部署加密DNS协议的隐私收益评估方法及测量分析

加密DNS协议最初被设计用于保护用户和递归解析器之间(用户-递归侧)的DNS通信隐私。目前,加密DNS协议获得了广泛应用。然而,递归解析器和权威服务器之间(递归-权威侧)的DNS通信仍遭受着大量隐私威胁。历经4年的标准化进程,互联网工程任务组在2024年2月正式发布RFC 9539,提出可利用加密DNS协议来保障递归-权威侧的DNS通信隐私。聚焦于在递归-权威侧部署加密DNS协议所带来的隐私收益,提出评估互联网域名隐私收益的方法。针对243万个流行域名和4万个敏感域名,结合1058个顶级域名的区域文件,分析权威服务器所托管的域名数量,从而判定目标域名的隐私收益等级。测量结果表明,超过90%的域名可获得递归-权威侧部署加密DNS协议的隐私保护,但是6.28%的敏感域名无法从递归-权威侧部署加密DNS协议中获得隐私收益。此外,一些高流行度的域名也没有获得足够的隐私收益。相较于大型域名托管商,小型域名托管商可为域名提供更高的隐私收益。将域名部署于仅托管单个域名的权威服务器上会极大地损害递归-权威侧加密DNS协议的隐私保护效果,管理人员应重新审视域名托管服务。

基于终端DNS协议安全设计缺陷的代偿技术研究

针对DNS协议安全设计缺陷,文章对终端设备本地hosts缓存重定向技术、终端设备应用层DNS代理技术、操作系统内核驱动层DNS阻断技术进行了深入研究,提出了终端设备DNS协议安全设计缺陷代偿技术模型。该模型不仅能从终端设备操作系统底层拦截DNS域名解析请求数据包,还能联动威胁情报。经验证,它能在不影响用户正常体验的前提下对恶意域名进行准确识别和首包拦截,从而满足各行业的企、事业单位员工及供应链人员对终端设备的安全管理需求。

基于顶级域解析日志的递归DNS识别方法

递归域名系统(DNS)根据其服务的开放性、进行递归查询的目的等可分为不同的类型,递归DNS类型的准确识别,对于对根、顶级和各级权威DNS的分析与运行具有重要意义。针对递归DNS的准确识别问题,本文通过分析.CN国家顶级域名系统的解析日志,提出基于递归查询的行为特征识别递归DNS类型的方法。该方法从多个维度信息来筛选甄别表征全量日志信息,基于无监督特征选择方法选择重要特征,实现同类型递归DNS的准确聚类。实验结果表明,该方法能高效准确识别出递归DNS类型。

基于图注意力网络的DNS隐蔽信道检测

域名系统(Domain Name System,DNS)隐蔽信道在高级持续性威胁(Advanced Persistent Threat,APT)攻击中呈频发态势,对网络空间安全具有潜在威胁。文章提出基于域名语义表示(Domain Semantic Representation,DSR)和图注意力网络(Graph Attention Network,GAT)的DNS隐蔽信道检测方法DSR-GAT,将域名级别的DNS隐蔽信道检测转化为一种无向图的节点分类任务。首先基于域名的相关性采用无向图构建域名图(Domain Graph,DG);然后利用域名的文本数据属性,采用一维卷积神经网络提取的语义表示作为DG节点的特征表示;最后通过图注意力网络的消息传播机制及多头自注意力机制,增强每个域名的特征表示。在公开数据集与基于真实APT样本Glimpse的自建数据集上进行实验,实验结果表明,文章提出的DSR-GAT方法检测效果较好,在解决上述问题的同时降低了漏报率,在一定程度上减小了安全风险。

在FREEBSD 5.2.1上配置DNS SERVER

1 简介 网络上,与一台特定的主机连接,通常用两种方式表示该机的地址,一种为 IP Address;另一种为Domain Name.由于IP地址比较难记,DNS(Domain Name System域名系统)负责将IP和域名之间的转换,例如:www.sina.com.cn→61.135.152.76,方便人们记忆.

Windows Server 2003中DNS配置的分析和探讨

DNS是Active Directory的主干,也是Windows Server 2003的主要名称解析机制。DNS是网络建设中首要解决的问题之一,学会在windows操作系统中为DNS配置是网络管理人员必备技能之一。本文主要探讨了如何在Windows Server 2003中安装域名系统(DNS)服务器和DNS的安全配置。

Windows Server 2003 DNS——益于多域森林的新特性

本文讲述Windows 2003 DNS的末节区域和条件转发如何改进了Windows 2000 DNS的性能。

安全部署Windows Server 2003系统中DNS服务的探索

DNS是作为一个整体的服务系统存在的,而这个服务系统一般是由服务器、服务器操作系统以及DNS服务软件系统所组成的,每个环节的薄弱都可能成为DNS服务的安全威胁。作为一个完整的系统,不仅各自的安全要予以重视,对相互之间的关系、影响也必须重视起来,并采取适当防范措施。

WAP网关TOP Domain DNS容灾优化方案

文章针对WAP网关DNS查询故障导致WAP业务受阻的问题,深入分析了WAP网关DNS查询流程,设计并实现了WAP网关TOP Domain DNS容灾优化方案,有效提高了WAP网关系统容灾能力。

Windows2000Server中DNS的实现

域名系统(DNS)可以将计算机名(或域名)解析为 TP 地址,这些名称用于搜索和访问本地网络或因特网上的资源。DNS 是由各级域名组成的树状结构的分布式数据库,采用客户机/服务器机制,DNS

Windows Server 2008中DNS简析与配置

DNS服务器是网络服务器当中最重要的服务器之一,以实现域名与IP地址的相互转换,在Windows系统中也是网络管理员必备的主要技能之一。主要探讨Windows Server 2008操作系统中DNS的工作原理与配置实现。

Public DNS Server Tool快速切换DNS服务器

近来出现许多开放式DNS服务，这些服务提供了更快、更安全的上网环境。而且每个人都能够免费使用。而对大部分的使用者来说，EWindows里变更DNS设定可能不是一件简单的事，那么PubIic DNS Server ToolR以帮这个小忙，它是一个很方便的工具，能让你在Win XP或Win 7里快速变换DNS服务器。

DNS欺骗攻击的检测和防范

DNS是目前大部分网络应用的基础,对它的攻击将影响整个Internet的正常运转。DNS欺骗攻击是攻击者常用的手法,它具有隐蔽性强、打击面广、攻击效果明显的特点,但是目前对这种攻击还没有好的防范策略。在分析DNS欺骗原理的基础上提出了3种攻击检测手段和3种识别攻击包的方法,对于提高DNS的安全性和抗攻击性具有积极的作用。

基于DNS的负载均衡算法研究

随着网站访问量的增加,一些网站往往有多个地理上分布的提供相同服务内容的服务器群组,因此需要进行负载均衡处理。文章概括分析了现有的几种负载均衡算法,并提出了两种基于DNS的负载均衡新方法。该方法通过域名解析,根据每个服务器的可用性、客户与服务器之间的距离,以及地理范围匹配值,按照从优到劣的顺序返回网站的多个服务器的IP地址。

基于Passive DNS的速变域名检测

利用Passive DNS采集校园网真实运行环境的域名访问记录,从域名的多样性、时间性、增长性和相关性等方面构建18个特征集,提出基于随机森林算法来识别速变域名的模型。交叉验证实验表明,所构建的模型对域名分类的准确率超过90%。在所采集的数据集上,所构建的模型比Flux Buster能更有效地识别速变域名。