美国半个互联网瘫痪对开发者使用 DNS 的启发

美国时间的10月21日清晨7点开始,美国Dynamic Network Service公司的DNS服务器遭受了大规模分布式拒绝式服务(DDos:Distributed Denial of Service)攻击,Dyn公司是美国的主要DNS服务商,DDos攻击导致Dyn的DNS解析服务瘫痪,用户无法解析到目标网站的IP地址,引起Twitter、Tumblr、Spotify、Airbnb、Github、PayPal等众多站点无法访问,美国国土安全局、FBI也开始调查此事。

来自智能设备的 DDos 攻击

DDos 攻击是互联网中常见的一种攻击手段,黑客向某些服务器、个人PC、智能设备植入DDos攻击程序后,控制所有机器同一时间对目标网站发起流量攻击,被攻击的网站瞬间带宽被占用,正常用户则无法访问,此次Dyn公司遭受的攻击大量则来自物联网设备,日常生活中日益增多的智能设备,被黑客利用其中的安全漏洞作为DDos攻击中的肉鸡,攻击方式简单直接又野蛮粗暴,黑客作案成本低、门槛低,已经成为一条高度成熟的产业链。

各类型DNS服务的防攻击能力

目前国内提供域名授权解析服务主要的分为以下几种类型,每种类型都有各自的优缺点,这里主要谈论解析安全相关问题。

一.域名注册商附带DNS

授权DNS解析服务作为域名注册商的附带服务,一般只提供基本的解析服务,不会或很少提供附加服务,典型如新网、易名中国等,目前是主要存在以下特点。

  • 域名DNS受到攻击时不能提供抗攻击服务。
  • 稳定性难以保证,DNS解析服务经常出现异常。
  • 域名鱼龙混杂,受攻击可能性很高,可能会影响正规域名的解析。
  • 非核心业务,受重视程度不够,出现安全问题的响应不够及时。
  • 解析服务器配置存在安全隐患,如开启域传送、any查询等,容易造成内部信息泄露或被利用作为反射放大攻击。

企业和开发者们,如果是为重要的业务进行解析,尽量不要选择这类型的DNS服务。

二.专业域名解析服务提供商

专注提供域名授权解析及相关服务的第三方企业,国内此类服务商腾讯云DNSPod、新万网解析、DNS.com、cloudxns等,此类企业因为专一性很高,所以针对DNS遇到的各类安全问题通常都有比较完善的解决方案,且有专业的DNS团队来解决突发的安全问题。

以腾讯云DNSPod为例,为近125万用户、1100万域名提供服务,日处理DNS请求超过350亿次,据统计,平均每日都会有超过30次的攻击,并且历经了各种类型的DNS攻击,所以针对DNS遇到的各类安全问题通常都有比较完善的解决方案,且有专业的DNS团队来解决突发的安全问题,下面介绍几个典型案例:

常规DDos攻击:2009年5.19断网

和这次Dyn攻击事件非常相似,当年由于暴风影音的DNS机制缺陷,解析失败会无限重试,而且全国装机量非常大,被DDos攻击后递归DNS失败,导致运营商DNS被压垮,南方大范围断网。

攻击类型:DNS FLOOD、SYN FLOOD等;

首选策略:CNAME防护(主动探测)或IP重传(被动探测);

备选策略:IP限速、域名限速、黑名单等。

DNS反射放大攻击:2013.3.19 欧洲反垃圾邮件组织Spamhaus攻击

攻击类型:ANY/TXT/MX等记录类型放大;

首选策略:源端口过滤、源IP过滤/限速;

备选策略:禁止any查询、黑名单等。

递归DNS反射放大攻击:2014.12.10-12.12 国内递归DNS被大规模攻击

全国范围内的网络异常,攻击源有共同特征,包含大量物联网设备,和此次Dyn攻击事件的攻击源类似。

攻击类型:随机子域名方式;

首选策略:域名响应限速、域名请求限速;

备选策略:机器学习过滤随机域名、停止泛解析、源IP限速等。

并且通过多年的防攻击历史经验,腾讯云DNSpood沉淀了丰富的技术方案:

  • 自主研发第六代DNS服务器(DKDNS),辅以强大的Intel 82599EB 10GE网卡和DPDK开发套件,单机测试最高性能达到了1820万QPS,线上性能1100万QPS,并以8台服务器为一组组成了多个四层负载均衡集群,专制各种DDoS。
  • 针对DDos攻击,建立了包括大带宽、大规模分布式部署、专用防护设备、多种针对性防护策略、高性能DNS服务处理程序在内的防护体系,针对同时多个域名攻击支持高达200G的域名攻击防护能力, 历史处理域名攻击峰值超过600G,针对单域名攻击的DDoS防护能力超过1T。
  • 宙斯盾防护系统全覆盖,并创建了多种专利防护算法,对不同的攻击形式采用针对性的防护策略和算法。

三.企业自建DNS

目前规模较大、资源充足的公司会选择自建DNS,仅供本公司业务使用,不会被其他域名的DNS攻击影响,目前BIND(Berkeley Internet Name Domain)是目前世界上应用最为广泛的开放源码的DNS服务器软件。

关注DNS安全的开发者可能已经了解到,近期DNS服务器软件BIND的CVE-2016-2776漏洞被发现会导致远程拒绝式服务(Dos:Denial of Service)攻击,上个月才得以修复,而利用该漏洞构建特定的访问却能导致BIND主进程的崩溃。所以自建DNS也有一定的安全风险,需要关注以下几点:

  • 增加基础设施和安全设施的投入,增加带宽,部署更多的防护设备,以应对更大和更复杂的攻击;
  • 有条件的尽量开启DNSSEC支持,防止被劫持和修改;
  • 关闭域传送,防止内部解析信息泄露;
  • 使用开源解析软件的需要隐藏版本号和操作系统版本信息等,尽量使用最新的稳定版本,减少受攻击的可能性;
  • 各地运营商的递归DNS设置访问地区限制,减少被利用进行攻击的可能。

然而关键仍然是有自己的DNS维护团队,进行专业的维护。

总结:DNS 行业正在面临越来越严重的安全威胁,我们应积极采取措施进行应对,最后,仍然是需要完善法律法规,并对进行攻击者加大打击力度,必要时进行法律制裁。

原创声明,本文系作者授权云+社区-专栏发表,未经许可,不得转载。

如有侵权,请联系 yunjia_community@tencent.com 删除。

编辑于

腾讯云DNSPod团队的专栏

1 篇文章2 人订阅

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏FreeBuf

如何利用LTE网络协议漏洞把手机踢下网

诺基亚贝尔实验室和芬兰阿尔托大学的研究人员演示了如何攻击LTE网络协议。 之前我们已经多次报道过SS7信号协议的漏洞了,利用协议的漏洞,攻击者可以追踪用户。 当...

1798
来自专栏FreeBuf

漏洞预警:厄运cookie(Misfortune Cookie)漏洞影响全球1200万台路由器

一个名为“厄运cookie(Misfortune Cookie)”的严重漏洞正在影响全球1200万台路由器安全,D-Link、 TP-Link、华为、中兴等品牌...

1677
来自专栏FreeBuf

下一个猎杀目标 | 近期大量MySQL数据库遭勒索攻击

随着MongoDB, ElasticSearch, Hadoop, CouchDB和Cassandra服务器的的沦陷,MySQL数据库成了攻击者的下一个猎杀目标...

2126
来自专栏BestSDK

Instagram因API接口漏洞,遭受严重数据泄露

Instagram最近遭受了严重的数据泄露,许多高知名度用户的电话号码和电子邮件被黑客非法获取,泄露的原因是其API存在漏洞,Instagram声明称Bug已修...

4215

为什么网络安全很重要?

随着互联网的发展和计算机网络的迅速增长,网络安全已成为企业考虑的最重要因素之一。像微软这样的大企业正在设计和构建需要防御外来攻击的软件产品。

663
来自专栏FreeBuf

安全摘记 | 互联网安全小兵的日常

*本文原创作者:starshine,本文属FreeBuf原创奖励计划,未经许可禁止转载 生活不只有眼前的苟且,还有诗和甲方。于是,我来到了甲方,成为了一个互联网...

1749
来自专栏FreeBuf

Web应用防火墙(WAF)竞品分析

* 本文原创作者:bt0sea,本文属FreeBuf原创奖励计划,未经许可禁止转载 0×00、前言 WAF(Web Application Firewall)对...

3248
来自专栏FreeBuf

插入U盘自动攻击:BadUSB原理与实现(含视频)

漏洞背景 “BadUSB”是今年计算机安全领域的热门话题之一,该漏洞由Karsten Nohl和Jakob Lell共同发现,并在今年的BlackHat安全大会...

1978
来自专栏安恒信息

解读 | 6个问题深度解读CPU漏洞

近日,谷歌Project Zero安全团队公布了两组CPU特性漏洞,分别命名为Meltdown和Spectre,安恒信息应急响应中心于日前已关注此漏洞并发布漏洞...

2799
来自专栏FreeBuf

Google Project Shield如何抵御DDoS攻击?这个案例可以初探端倪

对安全专家Brian Krebs来说,去年9月的第三个星期可以算是一段暗无天日的时光,大量持续不断的DoS攻击波涌向其个人网站KrebsOnSecurity,峰...

2198

扫码关注云+社区