DNS安全白皮书 1 摘 要 DNS是域名解析系统 的英文缩写 ，是Internet的一项核心基础服务 ，它对我 们和所有的联网设备 使用网络服务都非常关键， 是网络的基础设施。其 重要性主 要体现在两方面： 一 是为整个互联网应用 提供基石。从目前来说 不管是传统的 PC 和手机端，还是新基建中 着力发展的 5G、物联网、工业互联网 和卫星互联网 ， 都需要通过 DNS协议访问服务器 ；二是随着新经济的发展，网络空间内的经济 活动逐渐增加且愈发 重要，域名和 IP作为整个互联网的基础要素，逐渐成为一 国在网络空间内的战略资源。 正是由于 DNS在整个网络中发挥的 关键作用， 近年来针对和利用 DNS的攻 击形势也愈加严峻 。据来自 360网络安全研究院 （ 360Netlab ）的研究数据 表明， 在城域网级别的 DNS流量中，大约有万分之一到万分之五的 DNS请求是恶意 的。而现代企业中每个员工平均每天发出的 DNS请求大约是两千次。这意味着 如果一个企业拥有一千名员工， 那么企业的网络出口处每天可以录得两百到一千 次DNS恶意请求。 发现并阻断这些恶意请求， 甚至通过 DNS恶意请求回溯被黑 客攻陷的设备并清除恶意代码， 应该成为政府企业网络纵深防御的 重要组成 部分。 因此如何通过有效手段对 DNS数据进行分析，实现 准确识别 以达到减少网络恶 意行为的发生 已变得非常重要。 作为 360安全大脑的一环， 360安全 DNS从2013年提供服务 开始，到今年 已迈进了第八个年头 ；每日提供 DNS服务超过千亿次，历史累计提供 DNS访问 次数超过千万亿次，总可靠性超过 4个9。同时，自 2018年开始提供增强的安 全DNS服务后，每日拦截恶意域名 更是超过四百余万次，累计拦截超过 36亿 次，总可靠性超过 4个9。 0 目 录 1 背景介绍 ................................ ................................ ................................ ................................ ............... 1 1.1 DNS定义 ................................ ................................ ................................ ................................ ......................... 1 1.2 DNS工作原理 ................................ ................................ ................................ ................................ ................ 2 1.3 DNS相关安全问题 ................................ ................................ ................................ ................................ ...... 4 1.4 DNS攻击（给客户）带来的危害 ................................ ................................ ................................ ........... 8 2 DNS攻击案例介绍 ................................ ................................ ................................ ........................... 10 2.1 DNS大规模攻击事件 ................................ ................................ ................................ ............................... 10 2.2 2016 DYN CYBER ATTACK ................................ ................................ ................................ ........................... 11 2.3 WANNA CRY（永恒之蓝）蠕虫病毒 ................................ ................................ ................................ ...... 12 3 DNS攻击应对方法 ................................ ................................ ................................ ........................... 13 4 DNS攻击研究趋势 ................................ ................................ ................................ ........................... 17 5 360DNS 威胁检测防御系统 ................................ ................................ ................................ ........... 19 1 1 背景介绍 今天，互联网已成为我们生活中不可或缺的一部分。从社交到金融、购物再 到旅游，我们生活的方方面面都 离不开互联网的支持。但是随着互联网的广泛使 用，相关的问题也开始一一浮现，在这其中 网络安全 更是成为 大多数网络用户首 要关注的问题 。同时伴随着网络 的飞速发展 ，网络攻击 的常态化 也让越来越多的 政府机构、企业和个人用户感到头疼， 众多国内外一线企业以及 知名人士 都曾成 为网络攻击的受害者。 而在形式众多的网络攻击中， DNS攻击可以说是最为常见的一种， 但是它的 存在感却一直较低，那么 接下来就让我们来了解下 什么是 DNS攻击，以及看看 它是如何展开工作的 。 1.1 DNS定义 DNS，全称 Domain Name System ，即域名解析系统 ，是Internet的一项核 心基础服务。 它通过使用分层的分布式数据库来处理 Internet上的域名和 IP地 址之间的映射 ，主要用于 Internet等TCP/IP网络中。当用户在应用程序中输入 域名时， DNS服务可以将此 域名解析为对应的IP，也就是说 当我们访问一个网 站时，其实 访问的是网站的 web服务器， 而每台服务器在互联网上都 有唯一的 数字格式的 IP地址标识。 DNS对我们和所有的联网设备使用网络服务 非常关键， 是网络的基础设施 。 其重要性主要体现在两方面： 一是为整个互联网应用 提供基石。从目前来说 不管 是传统的 PC和手机端，还是新基建中 着力发展的 5G、物联网、工业互联网 和卫 2 星互联网 ，都需要通过 DNS协议访问服务器 ；二是随着新经济的发展，网络空 间内的经济活动 逐渐增加且愈发 重要，域名和 IP作为整个互联网的基础要素， 逐渐成为一国在网络空间内的战略资源。 1.2 DNS工作原理 DNS的出现让用户在进行域名访问时更加简单便捷。 以360官网为例，其 唯一的数字格式 IP地址为： 36.110.213.10 ，如果每次打开网站都需要记忆和输 入这样的点分十进制数字串是很不方便的 。但如果我们输入域名，类似 www.360.cn 这样的形式， 相对来说 就更便于记忆。 DNS的作用就是将域名翻译 成IP地址供客户端使用，简单来说 就相当于手机里的电话簿， 通过相关手段 将 电话号码与姓名互相映射。 图1 DNS工作流程 3 DNS的工作流程主要 分为客户端和服务器两个部分 ，客户端作为提问者向 服务器询问某个域名 ，服务器则根据域名回答对应的 IP地址。在实际的使用 中，当用户在浏览器中键入域名 www. 360.cn时，主要的流程为： （1）浏览器客户端 向所配置的 递归域名服务器 发出解析 www.360.c n域名 的DNS请求报文（ 图中的 Q1）。相当于对 递归域名服务器 说“请给我 www.360.cn 所对应的 IP地址”。 （2）递归域名服务器 收到请求后，先查询本地缓存。假设没有查到该域名 对应记录，则 递归域名服务器 向所配置的根 域名服务器 发出请求解析.cn域名的 DNS请求报文（ 图中的 Q2）。 （3）根域名服务器 收到查询请求后，通过查询得到 .cn顶级域名所对应的 顶级域名服务器 ，然