當(dāng)攻擊發(fā)生時，安全機(jī)器人能夠在無人值守的情況下，自動識別攻擊，主動采取措施，讓域名系統(tǒng)免于長時間的攻擊威脅。

隨著智慧校園信息化建設(shè)的高速發(fā)展，北京理工大學(xué)的權(quán)威域名服務(wù)范圍越來越廣，運(yùn)行復(fù)雜度越來越高。目前學(xué)校已開通4個權(quán)威域名，300余個主機(jī)域名，權(quán)威域名服務(wù)是學(xué)校教育信息化工作的重要基礎(chǔ)設(shè)施。

據(jù)互聯(lián)網(wǎng)相關(guān)權(quán)威機(jī)構(gòu)的安全報道，面向DNS的攻擊頻度僅次于網(wǎng)站攻擊。但域名安全往往被忽視，這也是近年來網(wǎng)絡(luò)安全領(lǐng)域最薄弱的環(huán)節(jié)之一。面對如此嚴(yán)峻的安全態(tài)勢，北京理工大學(xué)的權(quán)威域名安全工作迫切需要加強(qiáng)升級。

北京理工大學(xué)教育域名安全服務(wù)平臺

考慮到域名系統(tǒng)的專業(yè)性強(qiáng)，傳統(tǒng)的域名安全防護(hù)專業(yè)人才匱乏，學(xué)校的域名安全服務(wù)平臺部署了域名安全機(jī)器人，對多節(jié)點(diǎn)權(quán)威域名服務(wù)提供7×24小時、全年無休的實(shí)時防護(hù)，提升了全校域名的安全穩(wěn)定性。

域名安全機(jī)器人

域名安全機(jī)器人是一個基于域名攻擊大數(shù)據(jù)的智能分析和處置引擎，包括攻擊流量識別、阻斷控制、智能學(xué)習(xí)等模塊。

攻擊特征庫

基于DNS攻擊類型的不同，攻擊特征有很大不同，目前已知的攻擊類型有四類，包括域名劫持、緩存投毒等，每一類的攻擊特征時常發(fā)生變化。

域名劫持

通過采用非法的攻擊手段控制域名管理密碼和管理郵箱，然后將該域名的DNS紀(jì)錄指向某個DNS服務(wù)器，再在該DNS服務(wù)器上添加域名紀(jì)錄。

緩存投毒

控制DNS遞歸服務(wù)器，把原本準(zhǔn)備訪問某網(wǎng)站的用戶在不知不覺中帶到攻擊者指向的其他網(wǎng)站上。其實(shí)現(xiàn)方式有多種，比如，當(dāng)用戶權(quán)威域名服務(wù)器被同時作為遞歸服務(wù)器使用時，利用權(quán)威域名服務(wù)器的漏洞實(shí)施緩存投毒攻擊，將錯誤的域名紀(jì)錄存入緩存中，從而使所有使用該遞歸服務(wù)器的用戶得到錯誤的解析結(jié)果。

DDoS攻擊

通常利用BIND軟件中的漏洞，導(dǎo)致DNS服務(wù)器崩潰或拒絕服務(wù);另一種攻擊的目標(biāo)不是DNS服務(wù)器，而是利用DNS服務(wù)器作為中間的“攻擊放大器”，去攻擊其它互聯(lián)網(wǎng)上的主機(jī)，導(dǎo)致被攻擊主機(jī)拒絕服務(wù)。

DNS欺騙

攻擊者冒充域名服務(wù)器的一種欺騙行為。在DNS緩存還沒有過期之前,如果有客戶查詢在DNS緩存中已經(jīng)存在的記錄，DNS服務(wù)器將會直接返回緩存中的記錄。

攻擊識別

帶有攻擊特征的流量出現(xiàn)時，安全機(jī)器人開始觀察、取證。在一定時間段內(nèi)攻擊流量成型并保持持續(xù)狀態(tài)，安全機(jī)器人比對攻擊特征庫，若特征庫中有此攻擊定義，則識別為攻擊。

阻斷控制

安全機(jī)器人與各類控制單元（如防火墻、流量控制設(shè)備等）建有接口。已識別的攻擊者將被送往控制單元進(jìn)行阻斷或采取其他限制措施。阻斷控制手段采取后，攻擊者將失去影響域名服務(wù)和服務(wù)平臺的能力。針對偽造重要服務(wù)器IP的攻擊，采取白名單和流量控制措施加以調(diào)控，以避免誤傷。

智能學(xué)習(xí)

安全機(jī)器人的能力很大程度上取決于攻擊特征庫的豐富程度。一開始，這個攻擊特征庫是預(yù)設(shè)的，隨著攻擊識別量越來越多，域名攻擊的數(shù)據(jù)集也越來越多，攻擊特征存在隨時變化和升級的預(yù)期，因此安全機(jī)器人也需要具備基于攻擊數(shù)據(jù)集的智能學(xué)習(xí)能力。當(dāng)多個學(xué)校不同設(shè)備的數(shù)據(jù)集構(gòu)成一個域名攻擊大數(shù)據(jù)時，其智能學(xué)習(xí)效率將大為提高。

 域名安全機(jī)器人配置

北京理工大學(xué)共有三臺權(quán)威域名設(shè)備，一個主站，二個輔站，主站與輔站實(shí)現(xiàn)統(tǒng)一管理。主站和輔站分別部署一個安全機(jī)器人。安全機(jī)器人負(fù)責(zé)對各自的域名服務(wù)開展7×24小時不間斷的安全值守工作，從攻擊識別到阻斷控制，實(shí)現(xiàn)了完全無人值守。學(xué)校的安全服務(wù)團(tuán)隊(duì)事后進(jìn)行巡查，評估域名機(jī)器人的工作，并對機(jī)器人工作進(jìn)行優(yōu)化。

域名安全機(jī)器人相關(guān)實(shí)踐

學(xué)校的域名安全服務(wù)平臺正處于測試階段，運(yùn)行2個月以來，遭遇到多次較大流量的攻擊。在未經(jīng)處理的情況下，攻擊流量高達(dá)日常流量的50~100倍。

圖1為2019年7月30日至8月6日的權(quán)威DNS流量圖，其中高峰為攻擊發(fā)生流量，可以看到這一周的工作日經(jīng)常發(fā)生攻擊。

圖1 北京理工大學(xué)2019年7月30日至8月6日的權(quán)威DNS流量

通過安全機(jī)器人的及時處置，學(xué)校的權(quán)威域名服務(wù)始終保持安全可控狀態(tài)。攻擊流量發(fā)生后，即被安全機(jī)器人有效控制，一方面峰值流量下降了2/3，另一方面攻擊現(xiàn)象在處置后立即消失。

以2019年8月5日的攻擊數(shù)據(jù)為例進(jìn)行說明（見表1），當(dāng)天共有4次攻擊行為，每次攻擊發(fā)生時即被有效控制，系統(tǒng)記錄了17個攻擊相關(guān)IP。

表1 2019年8月5日的攻擊數(shù)據(jù)

這些IP大部分分布在國內(nèi)東部省市不同的運(yùn)營商，可能是攻擊源，也可能是被攻擊的受害者。在這些輪番攻擊中，通過安全機(jī)器人第一時間的及時應(yīng)對，學(xué)校的網(wǎng)絡(luò)環(huán)境始終保持安全和穩(wěn)定，權(quán)威域名服務(wù)正常運(yùn)轉(zhuǎn)，未受到任何影響。

域名安全機(jī)器人上線以來的測試運(yùn)行期數(shù)據(jù)證明，安全機(jī)器人值班，對流量實(shí)時監(jiān)控，并與安全服務(wù)團(tuán)隊(duì)定期巡檢相結(jié)合的模式，可以保證學(xué)校權(quán)威域名服務(wù)的安全穩(wěn)定。當(dāng)攻擊發(fā)生時，安全機(jī)器人能夠在無人值守的情況下，自動識別攻擊，主動采取措施，讓域名系統(tǒng)免于長時間的攻擊威脅。

在這項(xiàng)專業(yè)性很強(qiáng)的業(yè)務(wù)工作中，安全機(jī)器人與權(quán)威域名安全服務(wù)的深度融合是學(xué)校DNS工作的一次大膽創(chuàng)新和實(shí)踐，是智慧校園智能服務(wù)升級的一次領(lǐng)先嘗試。

（本文刊載于《中國教育網(wǎng)絡(luò)》雜志2019年10月刊，原標(biāo)題《北京理工大學(xué)域名安全機(jī)器人上線》，作者：盧肖，單位為北京理工大學(xué)網(wǎng)絡(luò)信息技術(shù)中心）