网站安全等级保护级别v6(等级保护5个级别)

DNS

IPv6_DNSv6安全性分析

DNS

DNS简述

DNS协议在IPv6中并没有对协议报文进行改动，只是增加了域名对IPv6地址的映射支持。基于双协议栈DNS的主要功能是通过域名和IP地址之间的相互对应关系，来精确定位网络资源，即根据域名查询IP地址，反之亦然。

IPv4地址正向解析的资源记录是“A”记录，IPv6地址解析是“AAAA”。在DNS服务器中同时存在“A”记录和“AAAA”记录。由于节点既可以处理IPv4协议，也可以处理IPv6协议，无论DNS服务器回答“A”记录还是“AAAA”记录，都可以进行通信。

DNS服务器支持双栈，节点既可以通过IPv4协议，也可以通过IPv6协议来访问DNS服务器节点，以获取域名对应的“A”记录和“AAAA”记录。

DNS

DNSv6面临的安全威胁

由于协议几乎没有改动，DNS在IPv6环境中面临的安全问题和IPv4没有太大差别，但由于IPv6地址太长，不容易记忆，导致在企业内部更多需要使用域名来标识常用网站，DNS服务器的重要性得到了提升，对其部署的安全性也应作更全面的考虑。下面列举DNS面临的主要安全威胁。

Dos攻击

目前网上大多数的DNS服务器的Dos攻击都是由攻击者控制僵尸网络利用真实DNS协议栈向DNS服务器发起大量域名查询请求，导致DNS服务器无法向合法节点提供域名解析服务。攻击的类型主要是Flood攻击和资源耗尽攻击，Flood攻击是发送海量DNS查询报文导致网络带宽耗尽，资源耗尽攻击是发送大量非法域名查询报文引起DNS服务器持续进行迭代查询，从而达到较少的攻击流量消耗大量服务器资源。

DNS欺骗

DNS欺骗是最常见的DNS安全问题之一。当一个DNS服务器由于自身的设计缺陷，接收了一个错误信息，那么就将做出错误的域名解析，从而引起众多安全问题，例如将用户引导到错误的互联网站点，甚至是一个钓鱼网站；又或者发送一个电子邮件到一个未经授权的邮件服务器。攻击者通常通过三种方法进行DNS欺骗：

缓存污染

攻击者采用特殊的DNS请求，将虚假信息放入DNS的缓存中

DNS信息劫持

攻击者监听DNS会话，猜测DNS服务器响应ID，抢先将虚假的响应提交给客户端

DNS重定向

将DNS名称查询重定向到恶意DNS服务器

DNS

解决方案

针对DNS的攻击防御，通常都是采用判断DNS请求流量阈值的方法来判断是否发生攻击，但是这种方法有一定局限性，第一是可能对热点域名产生的正常DNS请求流量超限的情况，产生误报，第二是攻击者引导到非法域名的流量较小，由于其流量未超限，会产生漏报。

因此在DNS防御中除了流量阈值，还应考虑域名黑白名单功能。迈普安全产品可根据黑白名单中的域名和IP映射关系创建可信域名库进行提取，对于可信域名映射可以给予一定的流量放宽，对于非可信域名映射可以采取严格限流策略或者阻断策略，对DNS攻击做有效防护。