一种识别DNS欺骗攻击包及检测DNS欺骗攻击的方法

摘要

本发明涉及一种识别DNS欺骗攻击包及检测DNS欺骗攻击的方法。对于五元组(事务标识符、源IP地址、目的IP地址、源端口号、目的端口号)相同的若干个DNS应答包，同时符合以下四个特征的即为DNS欺骗包：仅有一个应答域，应答域中是一个IP地址；应答域中不包含Cname类型的记录；应答包中A类记录对应的TTL值不合理；应答包中不包含授权域和附加域。检测DNS欺骗攻击时，首先捕获客户端和域名服务器之间的所有DNS数据包，然后依据上述方法判断每个应答包是否为DNS欺骗攻击包。本发明能够有效地识别DNS欺骗攻击包并及时检测出DNS欺骗攻击，对提高DNS系统的抗攻击性、保护DNS服务系统有很高的实用价值。

主权项

一种识别DNS欺骗攻击包的方法，其特征在于，对于事务标识符、源IP地址、目的IP地址、源端口号和目的端口号相同的若干个DNS应答包，同时符合以下四个特征的即为DNS欺骗包：a)仅有一个应答域，应答域中是一个IP地址；b)应答域中不包含Cname类型的记录；c)应答包中A类记录对应的TTL值不合理；d)应答包中不包含授权域和附加域。