UDP是一种无连接协议，且可用脚本轻松生成大量UDP数据包而常被用于海量带宽的DDoS攻击，也就是UDP泛洪攻击。
由于DNS主要采用的是UDP协议，某些情况下采用TCP协议，而UDP/DNS协议也常被DDoS工具利用。
DNS协议是一个十分重要的网络协议，所以这个协议的可用性就异常重要。为了让DNS拒绝服务，恶意攻击者向允许递归的开放DNS解析器发送大量伪造的查询请求。如果查询请求的数量巨大，DNS服务器很有可能会发送大量的DNS响应信息。这也就是我们常说的放大攻击，这种方法利用的是DNS解析器中的错误配置。由于DNS服务器配置错误，那么DNS解析器很可能会在接收到一个非常小的DNS查询请求之后，向目标主机返回大量的攻击流量。在另一种类型的攻击中，是向DNS服务器发送未经许可或不符合规则的查询请求来进行攻击。
有10种简单而实用的方法来缓解DNS泛洪攻击所带来的影响，更好地保护DNS基础设施。
第一，不允许未经过请求的DNS响应。一个典型的DNS交换信息是由解析器到服务器的请求，以及从服务器到解析器再到服务器的响应信息组成。没有未经过请求的回应，同样也没有回应信息，也不会被回应信息响应。当一个回应已经到达，但如果相应的请求没有通过，回应就被丢弃。这种机制能够有效地缓解DDos攻击影响。
第二，丢弃快速重传数据包。即便是在数据包丢失的情况下，任何合法的DNS客户端均不会以较短的时间间隔向同一DNS服务器发送相同的查询请求。每个RFC均需遵守查询重传数据包的规则。因此，如果从相同IP地址发送至同一目标地址的相同查询请求发送频率过高，那么数据包可丢弃。
第三，如果DNS服务器已经发送了响应信息，应禁止服务器在较短时间间隔内对相同的查询请求信息进行响应——启用TTL。一个合法的DNS客户端如果已经接收到了响应信息，就不会再次发送相同的查询请求。每一个响应信息都应进行缓存处理直到TTL过期。当DNS遭遇请求泛洪时，可以启动阻断无关的请求。
第四，丢弃异常来源的DNS请求和响应。通常情况下，攻击者会利用脚本来对目标进行分布式拒绝服务攻击（DDoS攻击），而且这些脚本是有漏洞的，不符合与DNS报头有关的RFC。在服务器中部署简单的匿名检测机制，在某种程度上可以限制泛洪中的数据包数量。
第五，果断丢弃未经请求或突发的DNS请求。这类请求信息很可能是由伪造的代理服务器所发送的，或者由于调试需要客户端配置错误或者是攻击流量。以上任何一种情况下果断丢弃数据包。非泛洪攻击（Non-Flood）时段，创建一个白名单，添加允许服务器处理的合法请求信息。白名单可以阻断非法的查询请求信息以及非常见数据包。这种方法可以有效地保护您的服务器不受泛洪攻击、影子域名（Phantom-Domain），以及影子子域名（Phantom-Subdomain）的威胁。除此之外，还也可以保证认证服务器只处理合法的域名服务器只对合法的DNS查询请求进行处理和响应。
第六，启动DNS客户端验证。伪造是DNS攻击中常用的一种技术。如果设备可以启动客户端验证信任状，便可以用于从伪造泛洪数据中筛选出非泛洪数据包。
通过反伪造技术，强制TCP传输或重传。
第七，响应缓存避免DNS服务器过载宕机。采用高性能DNS缓存工具，使用硬件线路每秒处理百万DNS请求。遇到泛洪攻击时，如果响应数据在缓存中，DNS查询通过上述所有检测后，缓存便能够响应。从而有效地防止服务器因过载而宕机。
第八，使用ACL的权限。许多请求中包含了服务器不具有或不支持的信息，那么可以进行简单的阻断设置，例如外部IP地址请求区域转换或碎片化数据包，直接丢弃即可。
第九，定位ACL、BCP38、IP信誉功能的使用。托管DNS服务器的任何企业都有用户轨迹的限制。当攻击数据包被伪造，伪造请求来自世界各地的源地址。设置一个简单的过滤器可阻断不需要的地理位置的IP地址请求或只允许在地理位置白名单内的IP请求。同样，伪造是随机的。有时，某些伪造的数据包可能来自与内部网络地址。
第十，余量带宽。如果日常DNS流量假设是X Gbps，确保流量通道不止是日常的量，有一定的带宽余量可以有利于处理大规模攻击。
■本报记者 赵明
关注读览天下微信，
100万篇深度好文，
等你来看……
