从断网事件分析DNS服务器拒绝服务攻击

事件原因和分析

　　此次事件是一次联动事件，主要分为两个部分：

　　1、dnspod站点的dns服务器被超过10gbps流量的ddos攻击击垮疑似因为是网络游戏私服之间的相互争夺生意，导致一家私服运营商发动了上千台僵尸主机对dnspod发动了ddos洪水攻击，导致dns服务器过载以及线路堵塞。

　　2、暴风影音的大量频繁的向电信dns主服务器发起解析。导致各地区电信主dns服务器超负荷。

　　暴风影音作为广泛使用的软件，有成千上万的用户安装使用。然而其dns解析机制存在缺陷。暴风公司仅仅在dnspod站内部署了一个dns解析站点，同时暴风影音软件在发生无法解析域名的时候会大量频繁的向运营商的dns服务器发起查询，运营商dns再向位于dnspod内的暴风公司dns服务器查询，未果。这样导致了大量的查询，客观上构成了对电信dns服务器的ddos攻击。

　　由于暴风影音使用用户非常多，其攻击能力高出僵尸网络几个数量级，导致多个省市电信dns主服务器过载。

　　fortigate ips对策

　　dns服务器作为互联网的一个核心部分容易遭受到攻击，要彻底解决这个问题，只有不断的完善internet安全架构本身，比如检测和清除僵尸网络、保障每一台接入到internet的pc的安全性、建立快速dos溯源机制等。然而安全的internet架构不是一朝一夕能够建立起来的，因此对dns的攻击防护就成为一项重要的安全措施。

　　对于以上两部分的原因，fortigate ips分别有不同的对策。

　　1、对于没有规律的大规模ddos攻击，fortigate ips具有硬件级的防御能力。它采用专用加速芯片对ddos攻击进行识别，可以判断出哪些是攻击包，那些是正常访问流量，从而将正常访问流量放过而阻挡住攻击数据包。这样dns服务器不会因受到攻击而过载。

　　fortigate ips有超过每秒10万pps的抗ddos攻击能力。

 
　　图一：fortigate 抗ddos配置

　　2、对于有规律的大规模ddos攻击，比如由暴风影音软件发起的对baofeng.com的大量dns查询，fortigate可以制定相应检测规则，暂时阻挡含有baofeng.com域名的查询，使得dns服务器不会过载。

 
　　图二：fortigate ips特征

　　fortigate ips特点简介

　　1、混合式、多类型的攻击防御

　　fortinet的全系列安全产品可以提供集成、完整的解决方案，它可以实现对混合攻击、入侵企图、病毒、木马、蠕虫、间谍软件、灰色软件、广告软件和拒绝式攻击等种类广泛的攻击和恶意行为。fortinet采用基于网络的asic加速的硬件平台，以及一系列的高级的动态入侵检测引擎，可以以更低的总体拥有成本，实现针对多种攻击的更高级别的安全和业内领先的性能。这些安全引擎是由foitinet屡或殊荣的fortiostm，可以单独部署，也可以集成在一起提供全面的安全解决方案。

　　2、全球的ips研发团队

　　fortiguard的ips服务是由fortinet全球的安全专家团队来维护，他们在识别一种新的攻击后两个小时内予以响应。fortinet安全专家与很多像cert和sans这样的攻击检测组织合作来发现新的漏洞，编写特征值、异常检测引擎和阻断方法，在漏洞成为威胁前升级用户的fortigate的ips系统。fortiguard的可扩展的分布式网络可以在几分钟内，推动地升级所有的fortigate的ips系统。