對惡意域名和非法訪問的控制方法及裝置制造方法及圖紙

本發(fā)明專利技術涉及網(wǎng)絡安全技術領域，具體地說是一種對惡意域名和非法訪問的控制方法及裝置，其特征在于所述中間件包括內核態(tài)協(xié)議棧數(shù)據(jù)包攔截模塊、用戶態(tài)DNS解析模塊、控制策略模塊、黑/白名單索引數(shù)據(jù)庫模塊、黑/白名單匹配模塊以及日志模塊，其中所述內核態(tài)協(xié)議棧數(shù)據(jù)包攔截模塊位于用戶態(tài)DNS解析模塊的前端，控制策略模塊與用戶態(tài)DNS解析模塊的輸出相連，控制策略模塊的輸出端與日志模塊相連接，控制策略模塊與黑/白名單匹配模塊相連接，黑/白名單匹配模塊與黑/白名單索引數(shù)據(jù)庫模塊相連接，本發(fā)明專利技術與現(xiàn)有技術相比，從通用性、可用性、可控性、安全性、及時性和有效性等多個角度提高域名服務的安全性。

【技術實現(xiàn)步驟摘要】
對惡意域名和非法訪問的控制方法及裝置
本專利技術涉及網(wǎng)絡安全
，具體地說是一種通過將安全域名服務器中間件部署在運行DNS服務器軟件(BIND 9)的服務器上，實現(xiàn)對惡意域名訪問進行高效的阻斷與隔離，同時，也對非法訪問者進行有效的控制的對惡意域名和非法訪問的控制方法及裝置。
技術介紹
DNS即域名系統(tǒng)(Domain Name System),是逐級授權的分布式數(shù)據(jù)查詢系統(tǒng),主要用于完成域名到IP地址的翻譯轉換功能。絕大多數(shù)互聯(lián)網(wǎng)通信都必須先通過域名系統(tǒng)完成域名到IP地址的尋址轉換，因此域名系統(tǒng)成為整個互聯(lián)網(wǎng)能夠正常運作的關鍵基礎設施之一 O目前，DNS成為網(wǎng)絡安全的最薄弱環(huán)節(jié)。網(wǎng)絡詐騙、網(wǎng)絡竊密等這些高科技犯罪手段日益引起了社會的關注。對此，政府部門相繼完善了有關利用計算機實施犯罪的法律法規(guī)，同時相關的技術管理部門也采取了多種措施從各個角度來提升網(wǎng)絡的安全性，如增強網(wǎng)絡中數(shù)據(jù)傳送保密性，嚴厲打擊惡意網(wǎng)站，對網(wǎng)絡的流量進行實時監(jiān)控等等。盡管如此，網(wǎng)絡中還是存在一些非法用戶意圖利用互聯(lián)網(wǎng)絡盜取他人信息或財產(chǎn)，以及利用一些惡意網(wǎng)站發(fā)布虛假廣告，這些行為對正常使用互聯(lián)網(wǎng)絡的用戶的個人信息與經(jīng)濟財產(chǎn)構成了極大的威脅。因此，現(xiàn)如今迫切需要一種切實有效的系統(tǒng)來阻斷與隔離非法用戶對網(wǎng)絡的攻擊，以及避免互聯(lián)網(wǎng)用戶登錄到惡意的網(wǎng)站上，以避免個人財產(chǎn)遭到威脅。現(xiàn)有技術中，針對惡意域名的處理技術主要包括四種:(I)利用域名解析軟件:目前95%以上的域名解析軟件使用BIND，BIND自帶黑名單過濾功能，但存在如下缺陷:黑名單更新需要停止域名解析服務，極大的影響系統(tǒng)的可用性；當數(shù)據(jù)量很大時影響系統(tǒng)的性能，并且黑名單的數(shù)量有限。(2)面向DNS過濾的網(wǎng)關系統(tǒng):貝爾實驗室的Cheswick等人提出了一種面向DNS過濾的安全網(wǎng)關系統(tǒng)，以防火墻的形式運行在網(wǎng)絡中，缺點是使用過濾規(guī)則進行處理，速度和效率較低，當過濾域名較多時，會大大降低域名解析服務的可用性。(3)具有安全功能的DNS系統(tǒng)，如OpenDNS，通過其收集的惡意網(wǎng)站列表實現(xiàn)惡意網(wǎng)站的過濾，雖然提高了安全性，但其適用范圍小，用戶量非常少，通用性差。(4)路由器級DNS安全解決方案:通過在路由器級別進行DNS的過濾和控制等功能,如國外的Cisco IOS ContentFiltering,提供針對惡意域名和惡意Web訪問的過濾和控制。缺陷:只能針對特定的接入?yún)^(qū)域進行相應的配置型過濾，但不能針對DNS服務器進行針對有效的安全過濾，同時由于大多采用基于路由器過濾規(guī)則的處理方式，不適合處理大規(guī)模海量的黑白名單過濾業(yè)務，無法滿足實時性的處理要求。(5)安全域名服務器技術在BIND源碼上進行了修改，破環(huán)了域名服務器的完整性。上述現(xiàn)有的惡意域名控制技術在可用性、通用性和可控性等方面都存在一定的問題，因此急需一種既不影響域名解析正常服務，又能保證安全的控制方法。
技術實現(xiàn)思路
本專利技術針對現(xiàn)有技術中存在的缺點和不足，提出了一種通過將中間件部署在運行DNS服務器軟件(BIND 9)的服務器上，實現(xiàn)對惡意域名訪問進行高效的阻斷與隔離，同時，也對非法訪問者進行有效的控制的對惡意域名和非法訪問的控制方法及裝置。本專利技術可以通過以下措施達到: 一種對惡意域名和非法訪問的控制方法，其特征在于包括以下步驟: 步驟1:建立黑/白名單索引數(shù)據(jù)庫，包含域名黑/白名單和IP黑/白名單索引數(shù)據(jù)庫，其中IP黑/白名單包括非法訪問者IP地址和響應包資源記錄中出現(xiàn)的IP地址； 步驟2:內核態(tài)協(xié)議棧捕獲攔截模塊獲取服務器的DNS請求與應答數(shù)據(jù)流，并對其進行解析，獲取包中的目的IP、請求域名、首部中的標識字段、以及資源記錄中的IP地址； 步驟3:根據(jù)步驟2解析DNS數(shù)據(jù)包的結果，得到包的查詢類型，根據(jù)不同的類型，轉入各自的控制分支，類型包括A記錄、A4記錄、A6記錄、反向解析； 步驟4:黑/白名單匹配，不同查詢類型的DNS數(shù)據(jù)包都需使用黑/白名單管理模塊進行規(guī)則的匹配，范圍包括DNS請求包的源IP地址與其要請求解析的域名、DNS應答包的域名與其解析出的IP地址； 步驟5:根據(jù)步驟4中的查詢結果對域名或IP地址進行控制和處理，如果查詢結果是請求解析域名的主機IP、請求域名以及資源記錄中的IP地址均不在黑名單中或者其中任一在白名單中，則將數(shù)據(jù)包交由內核態(tài)協(xié)議棧自動處理，如果查詢結果為請求解析域名的主機IP地址、請求域名以及資源記錄中的IP地址中有一項在黑名單中，則將應答包交由控制策略模塊進行控制處理； 步驟6:將上述控制過程中生成的日志文件進行統(tǒng)計分析后，將統(tǒng)計分析結果存入DNS數(shù)據(jù)庫，與DNS數(shù)據(jù)庫相連接的管理端實現(xiàn)對系統(tǒng)的管理和結果的查看。本專利技術步驟I所述建立黑/白名單索引數(shù)據(jù)庫具體包括以下步驟: 步驟1-1:通過管理界面直接輸入或采用文件批量，將待更新的域名或IP輸入管理端的黑/白名單更新模塊，管理界面將配置好的規(guī)則數(shù)據(jù)插入到DNS數(shù)據(jù)庫； 步驟1-2:中間件啟動線程，每隔I秒輪詢查詢DNS數(shù)據(jù)庫，如果該數(shù)據(jù)庫有規(guī)則更新，則提交給中間件，并在內存中建立B樹進行存儲，并把每次更新的條目加入。本專利技術步驟4具體包括以下步驟: 步驟4-1:首先判斷攔截到的數(shù)據(jù)包是DNS請求包還是應答包，如果是應答包，則轉步驟4-5 ;否則首先檢查該請求包的源IP地址是否在IP白名單中，(I)根據(jù)IP地址生成兩個整形哈希關鍵字Keyl和Key2，用Keyl對哈希桶數(shù)MAXBUCKETS取模，以此值為索引找到哈希表中的對應項，如果對應的B樹不為空，以Key2為關鍵字查詢B樹，尋找其相關索引項；(2)找到索引項后，給定IP地址與索引項對應列表中的IP地址一一比較以判斷是否匹配。若存在一個完全匹配的IP地址，則對該包放行，中間件不對該包進行控制；否則轉步驟 4-2 ； 步驟4-2:使用如步驟4-1的方法在IP黑名單中查找，若找到一個完全匹配的IP地址，則返回存在標志和該項的控制規(guī)則，轉到步驟5對該DNS請求包進行控制和處理，否則返回不存在標志； 步驟4-3:如果步驟4-2返回不存在標志，則檢查中文、英文域名開關是否打開，如果打開，則判斷該DNS請求包所請求域名是否在域名白名單中，具體包括:(I)根據(jù)輸入的請求域名生成兩個整形哈希關鍵字Keyl和Key2，用Keyl對哈希桶數(shù)MAXBUCKETS取模，以此值為索引找到哈希表中的對應項，如果對應的B樹不為空，以Key2為關鍵字查詢B樹，尋找其相關索引項；(2)找到索引項后，給定域名與索引項對應列表中的域名一一比較以判斷其是否匹配，若存在一個完全匹配的域名，則該包放行，中間件不對其進行控制；否則轉步驟4-4 ； 步驟4-4:使用如步驟4-3的方法在域名黑名單中查找，若找到一個完全匹配的域名，則轉到步驟5對該DNS請求包進行控制和處理，否則對該包放行，中間件不對其進行控制；步驟4-5:如果攔截到的數(shù)據(jù)包是DNS應答包，則需判斷應答包的目的IP地址、域名和資源記錄中的IP地址是否在相應的白名單和黑名單中，具體匹配過程與步驟4-1至步驟4-4相同，即首先判斷應答包的目的IP地址是否在白名單和黑名單中；如果沒有則判斷應答包的域名是否在白名單和黑名單中；如果沒有則要判斷應答包資本文檔來自技高網(wǎng)...

【技術保護點】
一種對惡意域名和非法訪問的控制方法，其特征在于包括以下步驟：步驟1：建立黑/白名單索引數(shù)據(jù)庫，包含域名黑/白名單和IP黑/白名單索引數(shù)據(jù)庫，其中IP黑/白名單包括非法訪問者IP地址和響應包資源記錄中出現(xiàn)的IP地址；步驟2：內核態(tài)協(xié)議棧捕獲攔截模塊獲取服務器的DNS請求與應答數(shù)據(jù)流，并對其進行解析，獲取包中的目的IP、請求域名、首部中的標識字段、以及資源記錄中的IP地址；步驟3：根據(jù)步驟2解析DNS數(shù)據(jù)包的結果，得到包的查詢類型，根據(jù)不同的類型，轉入各自的控制分支，類型包括A記錄、A4記錄、A6記錄、反向解析；步驟4：黑/白名單匹配，不同查詢類型的DNS數(shù)據(jù)包都需使用黑/白名單管理模塊進行規(guī)則的匹配，范圍包括DNS請求包的源IP地址與其要請求解析的域名、DNS應答包的域名與其解析出的IP地址；步驟5：根據(jù)步驟4中的查詢結果對域名或IP地址進行控制和處理，如果查詢結果是請求解析域名的主機IP、請求域名以及資源記錄中的IP地址均不在黑名單中或者其中任一在白名單中，則將數(shù)據(jù)包交由內核態(tài)協(xié)議棧自動處理，如果查詢結果為請求解析域名的主機IP地址、請求域名以及資源記錄中的IP地址中有一項在黑名單中，則將應答包交由控制策略模塊進行控制處理；步驟6：將上述控制過程中生成的日志文件進行統(tǒng)計分析后，將統(tǒng)計分析結果存入DNS數(shù)據(jù)庫，與DNS數(shù)據(jù)庫相連接的管理端實現(xiàn)對系統(tǒng)的管理和結果的查看。...

【技術特征摘要】
1.一種對惡意域名和非法訪問的控制方法，其特征在于包括以下步驟: 步驟1:建立黑/白名單索引數(shù)據(jù)庫，包含域名黑/白名單和IP黑/白名單索引數(shù)據(jù)庫，其中IP黑/白名單包括非法訪問者IP地址和響應包資源記錄中出現(xiàn)的IP地址； 步驟2:內核態(tài)協(xié)議棧捕獲攔截模塊獲取服務器的DNS請求與應答數(shù)據(jù)流，并對其進行解析，獲取包中的目的IP、請求域名、首部中的標識字段、以及資源記錄中的IP地址； 步驟3:根據(jù)步驟2解析DNS數(shù)據(jù)包的結果，得到包的查詢類型，根據(jù)不同的類型，轉入各自的控制分支，類型包括A記錄、A4記錄、A6記錄、反向解析； 步驟4:黑/白名單匹配，不同查詢類型的DNS數(shù)據(jù)包都需使用黑/白名單管理模塊進行規(guī)則的匹配，范圍包括DNS請求包的源IP地址與其要請求解析的域名、DNS應答包的域名與其解析出的IP地址； 步驟5:根據(jù)步驟4中的查詢結果對域名或IP地址進行控制和處理，如果查詢結果是請求解析域名的主機IP、請求域名以及資源記錄中的IP地址均不在黑名單中或者其中任一在白名單中，則將數(shù)據(jù)包交由內核態(tài)協(xié)議棧自動處理，如果查詢結果為請求解析域名的主機IP地址、請求域名以及資源記錄中的IP地址中有一項在黑名單中，則將應答包交由控制策略模塊進行控制處理； 步驟6:將上述控制過程中生成的日志文件進行統(tǒng)計分析后，將統(tǒng)計分析結果存入DNS數(shù)據(jù)庫，與DNS數(shù)據(jù)庫相連接的管理端實現(xiàn)對系統(tǒng)的管理和結果的查看。2.根據(jù)權利要求1所述的一種對惡意域名和非法訪問的控制方法，其特征在于步驟I所述建立黑/白名單索引數(shù)據(jù)庫具體包括以下步驟: 步驟1-1:通過管理界面直·接輸入或采用文件批量，將待更新的域名或IP輸入管理端的黑/白名單更新模塊，管理界面將配置好的規(guī)則數(shù)據(jù)插入到DNS數(shù)據(jù)庫； 步驟1-2:中間件啟動線程，每隔I秒輪詢查詢DNS數(shù)據(jù)庫，如果該數(shù)據(jù)庫有規(guī)則更新，則提交給中間件，并在內存中建立B樹進行存儲，并把每次更新的條目加入。3.根據(jù)權利要求1所述的一種對惡意域名和非法訪問的控制方法，其特征在于步驟4具體包括以下步驟: 步驟4-1:首先判斷攔截到的數(shù)據(jù)包是DNS請求包還是應答包，如果是應答包，則轉步驟e ;否則首先檢查該請求包的源IP地址是否在IP白名單中，(I)根據(jù)IP地址生成兩個整形哈希關鍵字Keyl和Key2，用Keyl對哈希桶數(shù)MAXBUCKETS取模，以此值為索引找到哈希表中的對應項，如果對應的B樹不為空，以Key2為關鍵字查詢B樹，尋找其相關索引項；(2)找到索引項后，給定IP地址與索引項對應列表中的IP地址一一比較以判斷是否匹配。若存在一個完全匹配的IP地址，則對該包放行，中間件不對該包進行控制；否則轉步驟4-2 ； 步驟4-2:使用如步驟4-1的方...

【專利技術屬性】
技術研發(fā)人員：張兆心，許海燕，李挺，閆健恩，遲樂軍，李斌，
申請(專利權)人：杜躍進，
類型：發(fā)明
國別省市：