大規(guī)模網(wǎng)絡(luò)中蠕蟲主動防治技術(shù)研究--利用dns服務(wù)抑制(已修改)
2025-07-29 20:55 本頁面
【正文】 《大規(guī)模網(wǎng)絡(luò)中蠕蟲主動防治技術(shù)研究》 利用 DNS服務(wù)抑制蠕蟲傳播 作者：鄭輝 日期： 大規(guī)模網(wǎng)絡(luò)中蠕蟲主動防治技術(shù)研究 利用 DNS服務(wù)抑制蠕蟲傳播 鄭 輝 教育科研網(wǎng)應(yīng)急響應(yīng)組 內(nèi)容 ?為什么選擇 DNS服務(wù) ?利用 DNS服務(wù)的方法 ?系統(tǒng)整體框架設(shè)計 ?基于配置視圖方式的系統(tǒng)實施方案 ?基于端口轉(zhuǎn)發(fā)方式的系統(tǒng)實施方案 ?性能分析、實施效果 為什么選擇 DNS服務(wù) ?大部分 Inter應(yīng)用都會用到 DNS服務(wù)； ?加快染毒用戶響應(yīng)速度； ?可以引導(dǎo)用戶到指定機器，相較于其他方式增強了交互性； ?減少用戶和網(wǎng)管人員的正面沖突； ?減少網(wǎng)管人員工作量； ?疏導(dǎo)方式對網(wǎng)絡(luò)流量的影響更??； ?實施時間短，見效快； 利用 DNS服務(wù)的方法 ?配置視圖 ?端口轉(zhuǎn)發(fā) 配置視圖 ?工作原理 – DNS服務(wù)程序（ BIND9）支持視圖（ view），對不同的視圖，服務(wù)程序產(chǎn)生不同的響應(yīng)； – 把已感染蠕蟲機器的 IP地址列表放入一個視圖中，對這個視圖的響應(yīng)結(jié)果設(shè)定為指定結(jié)果； ?優(yōu)缺點 – 僅修改 DNS配置文件，無需附加程序； – 操作簡單， DNS服務(wù)管理人員可以自行完成； – 不同 DNS服務(wù)程序的配置方式不同，很多版本的 DNS服務(wù)程序不支持視圖； 正 常 計 算 機染 毒 計 算 機黑 名 單DNS服 務(wù) 器染毒機器 DNS請求 返回指定報文 檢查視圖 正常計算機 DNS響應(yīng) 正常計算機 DNS請求 配置視圖方式流程示意圖 端口轉(zhuǎn)發(fā) ? 工作原理 – 端口轉(zhuǎn)發(fā)程序代替原有 DNS服務(wù)監(jiān)聽端口； – 收到 DNS請求時，在指定為文件中查找 DNS請求者 IP地址；如果在文件中找到 DNS請求者 IP地址，則返回偽造的 DNS響應(yīng)報文； – 否則，將請求報文轉(zhuǎn)發(fā)給在其他端口（或主機）運行的正常 DNS服務(wù)程序并將 DNS服務(wù)程序返回的響應(yīng)報文轉(zhuǎn)回給 DNS請求者。 ? 優(yōu)缺點 – 對原有系統(tǒng)改動小，可適用于各種不同的 DNS服務(wù)程序； – 當(dāng)黑名單為空時，同原有 DNS系統(tǒng)工作效果相同； – 需單獨編程，需要處理和考慮各種復(fù)雜情況； 染 毒 計 算 機端 口 轉(zhuǎn) 發(fā)程 序黑 名 單原 DNS服 務(wù) 器染毒機器 DNS請求 返回偽造報文 檢查黑名單 轉(zhuǎn)發(fā)正常計算機 DNS請求 正常計算機 DNS響應(yīng) 正常計算機 DNS請求 轉(zhuǎn)回正常計算機 DNS響應(yīng) 端口轉(zhuǎn)發(fā)方式流程示意圖 正 常 計 算 機系統(tǒng)整體框架設(shè)計 ? 檢測服務(wù)器（ IDS）： – 定期生成染毒計算機 IP地址列表； ? 修改過的 DNS服務(wù)器： – 獲取染毒計算機 IP地址列表 – 過濾染毒計算機 IP地址產(chǎn)生的 DNS請求； – 將染毒計算機導(dǎo)向警示服務(wù)器； ? 警示服務(wù)器（ Warning Information Server）： – 提供染毒告警信息； – 提供補丁程序、殺毒工具下載； – 收集用戶相關(guān)信息； 基于配置視圖方式的系統(tǒng)結(jié)構(gòu)示意圖 基于配置視圖方式的系統(tǒng)實施方案 ? 檢測服務(wù)器 – 配置在邊界路由器上，根據(jù)蠕蟲特征紀(jì)錄染毒計算機 IP地址； ? DNS服務(wù)器 – 從檢測服務(wù)器獲取染毒計算機 IP地址列表； – 根據(jù)染毒計算機 IP地址列表配置視圖； – 將染毒計算機導(dǎo)向警示服務(wù)器； ? 警示服務(wù)器 – 建立針對 HTTP協(xié)議的 Web警示頁面； – 建立針對 Tel協(xié)議的警示信息； – 建立針對 SMTP協(xié)議的警示信息； – 建立針對 POP3協(xié)議的警示郵件； 檢測服務(wù)器（ IDS） ?在邊界路由器上配置鏡像端口： conf monitor session 1 source 9/1 destination 9/3 ?設(shè)置檢測程序及檢測規(guī)則： alert icmp $HOME_NET any $EXTERNAL_NET any (msg:Nachi。 content:|aaaaaa|。dsize:64。itype:8。offset:1。depth:6。 reference:arachnids,154。 sid:483。 classtype:miscactivity。 rev:2。) ?生成染毒計算機 IP地址列表； BIND 9 視圖配置方案 (con.) ? 建立 ACL文件 – 包含染毒計算機 IP地址列表； – /var/named/ip包含內(nèi)容如下 acl fakeresponse { 。
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1