DNS：域名系统分析与研究

1 引言城名系统(DNS)是一种用于TCP/IP应用程序的分布式数据库,它提供主机名字和IP地址间的相互转换及有关电子邮件的选路信息。换句话说DNS提供了允许服务器和客户程序相互通信的协议。首先从应用程序角度看,对DNS的访问是由一个地址解析器(Resolver)完成的。在UNIX主机中,解析器主要是通过调用库函数gethostbyname和gethostbyaddr来访问的。在编译过后它们与应用程序连接在一起。前者通过主机名得到IP地址,后者则通过IP地址来找主机名。解析器通过一个或多个名字服务器来完成该转换。但应分清解析器扮演的是工具角色,UNIX内核中的TCP/IP协议族对于DNS一点都不知     

面向主干网的DNS流量监测

面对ISP主干网,为了检测威胁其管理域内用户安全的僵尸网络、钓鱼网站以及垃圾邮件等恶意活动.本文实时监测流经主干网边界的DNS交互报文,并从域名的“依赖性”和“使用位置”两个方面刻画DNS活动行为模式,而后基于有监督的多分类器模型,提出一个面向ISP主干网的上层DNS活动监测算法DAOS（BinaryClassifier For DNS Activity Observation System）.其中“依赖性”从用户角度观察域名的外在使用情况,而“使用位置”则关注区域文件中记录的域名内部资源配置.实验结果表明,该算法在不依赖先验知识的前提下,经过两小时的DNS活动观测,可以达到90.5%的检测准确率,以及2.9%的假阳性和6.6%的假阴性.若持续观察一周,准确率可以上升到93.9%,假阳性和假阴性也可以下降到1.3%和4.8%.     

一种基于异常检测的DNS流量负载审计

本文结合防火墙系统以及流量监测系统，长期持续地对DNS系统流量进行追踪，通过对整体DNS流量的摘要汇集记录、有效DNS查询的比率、UDP与TCP数据包数目的变化等基本DNS审计方法和技术研究，提出应对DNS攻击的一般流量审计方法和防护系统架构。     

INTERNET DNS服务器的实现

ＤＮＳ在Ｉｎｔｅｒｎｅｔ和Ｉｎｔｒａｎｅｔ中的作用主要是为本地网络中所有运行或兼容ＴＣＰ／ＩＰ网络协议的终端和客户机提供域名解析服务,被解析的域名可以是本地的,也可以是Ｉｎｔｅｒｎｅｔ或者广域网的外部域名。Ｉｎｔｅｒｎｅｔ上绝大多数ＤＮＳ服务器均是在ＵＮＩＸ环境下实现的,本文主要陈述如何在ＳＵＮ Ｓｏｌａｒｉｓ环境下实现ＤＮＳ服务器,ＳＵＮ Ｓｏｌａｒｉｓ兼容于ＵＮＩＸ ＳＹＳＶＲ４标准。对于常见     

内网智能DNS在流量迁移中的应用

本文介绍了在多出口复杂网络环境中,如何通过内部DNSCACHE,来引导和迁移出口设备的网络流量,从而达到优化网络的目的。     

基于流量切片的DNS隐蔽通道检测

针对DNS隐蔽信道(DCC)流量变形策略对现有检测方法的绕过性问题,提出了一种基于流量切片的DCC检测方法。该方法首先将实验环境出口流量基于滑动窗口分批,再基于主机端聚合形成流量切片,每个切片包含一个较短时间跨度中归属同一主机的DNS报文与Web报文,再对切片内DNS报文的数据量、请求行为、响应行为以及与Web报文的关联行为实施面向DCC检测的特征工程,并在此基础上建立DCC检测模型。对比实验表明,所构建的DCC检测模型在常规DCC流量切片集上检测准确性达到99.83%,误报率仅0.08%,在6类不同流量变形策略的变形DCC流量切片集上有平均95%以上的检出能力,远优于其他检测方案,证明了所提出的方法应对DCC流量变形的有效性。同时,该方法能在主机单个流量切片上对DCC通信作出有效检测,是一种具有良好实时性的检测方法。     

一种基于网络处理器的TCP中继器设计与实现

基于网络处理器的交换机、路由器和防火墙等网络设备是当前研究的热点,为这些网络设备设计程序时都需要进行TCP连接的控制。本文结合IntelSDK软件架构,提出了一种六次握手双向中继TCP连接的技术,并利用流表技术在不损失连接速率的前提下进行TCP连接控制。该技术可以在网络设备中广泛使用。     

恶意DNS流量攻击研究

DNS是重要的基础设施,用于域名服务,在负载均衡、移动IP等方面也有着重要的应用.分析了针对DNS的几种攻击行为类别,讨论了DNS流量激增对互联网的正常运作的影响,并提出了恶意DNS流量攻击、蜂窝效应概念,给出了几种导致DNS流量激增的措施,给出了能导致互联网DNS流量激增VC#的实例代码,最后讨论了针对DNS流量攻击的应对措施.     

面向骨干网流量分析与管理的计数器结构

针对高速骨干网流量分析与流量管理对大规模高速统计计数器的需求,提出了一种简单、高效的主动式计数器结构——DALCA,其新颖之处在于对计数器向量进行分层,除第1 层外,其他各层子计数器向量采用多级哈希表的形式进行组织,获得了良好的空间效率和时间效率.与现有的主动式计数器结构BRICK 相比, DALCA 的空间效率与其接近,但是时间效率明显优于BRICK.采用真实的骨干网流量数据,通过仿真实验对DALCA 的性能进行了评估,结果表明:执行查询操作时,DALCA的访存带宽需求约为BRICK 的1/10;执行更新操作时,DALCA的访存带宽需求约为BRICK 的1/6.     

季节时间序列法在IP网异常流量检测的应用

针对TCP/IP骨干网,利用NetFlow技术,提出一种基于业务流量周期规律特性的建模与异常检测方法。该方法通过挖掘骨干网主要业务流量的规律性,结合时间序列分析方法,有效地预测流量的变化趋势,避免了对复杂的流量非线性趋势进行建模分析。     

Windows不能修改DNS的解决方法

由于很多网络运营商的DNS服务器会向用户悄悄地投递广告信息,于是不少用户想修改DNS服务器的IP地址。但是有时在修改的时候系统却弹出”为了配置TCP／IP,必须安装并启动网络适配卡”的消息（如图1）,     

根据客户网络应答的DNS服务器设计与实现

为了解决网络互连带宽"瓶颈"问题,很多单位的WWW服务器或邮件服务器同时申请不同网络的IP。若这些服务器所申请的不同网络IP对应不同的域名,即通过不同域名来区分不同的访问线路,会给用户访问服务器时带来不便。而一种能根据客户源IP地址所归属网络,把同一个域名解析成不同IP地址的DNS服务器的实现,既解决带宽"瓶颈"问题又方便网民。在Windows平台下,设计和实现了具有根据客户所归属网络应答功能的DNS服务器。     

根据客户网络应答DNS服务器的设计与实现

为了解决网络互连带宽"瓶颈"问题,很多单位的WWW服务器或邮件服务器同时申请不同网络的IP。若这些服务器所申请的不同网络IP对应不同的域名,即通过不同域名来区分不同的访问线路,会给用户访问服务器时带来不便。而一种能根据客户源IP地址所归属网络,把同一个域名解析成不同IP地址的DNS服务器的实现,既解决带宽"瓶颈"问题又方便网民。在Windows平台下,设计和实现了具有根据客户所归属网络应答功能的DNS服务器。     

入侵检测系统中的协议分析子系统的设计和实现

对于一个网络入侵检测系统,协议分析主要有三方面的作用:为检测引擎提供输入,提高检测的有效性,提高检测效率。对于这些功能,该文论述的协议分析子系统对应有三个功能模块:基本协议数据解析模块,包括对数据包各个头部字段的解析;上下文相关的数据关联模块,包括IP分片合并和TCP会话重组;应用层协议分析模块,包括对常见应用协议数据的关键字段的提取和分析。文章的最后给出了系统的应用层协议分析的性能测试数据。     

浅析网络异常流量分析检测研究与实现

伴随着互联网技术与网络业务的快速发展,网络规模逐渐扩大,网络运用开始逐步朝多元化、多样化以及复杂化的方向发展.现今,网络流量监测已经逐渐发展为计算机网络运用当中一个必不可少的内容与环节.文章将对网络异常流量加以说明,并对网络异常流量检测技术研究与实现进行分析与研究.     

基于W-Kmeans算法的DNS流量异常检测

为了对DNS查询进行有效检测,及时发现DNS流量异常,提出了适合于检测DNS流量异常的权重Kmeans (WKmeans)算法.对CN顶级域2009年5月19日的原始查询日志抽取有用信息,提取相关的向量特征,对不同的向量特征赋予不同的权重值.利用W-Kmeans算法对查询日志进行聚类检测,并分析了算法各种参数选择的影响.5.19事件的DNS查询检测结果表明,W-Kmeans算法可以有效检测DNS流量异常的发生.     

基于统计方法的骨干网异常流量建模与预警方法研究

近几年来,Internet上频繁发生的蠕虫爆发和大规模分布式拒绝服务事件使网络服务的安全性面临严重的威胁。本文介绍了一个基于异常流量检测的Internet骨干网流量早期预警系统ESTAB（Early-warning System of Traffic Anomaly Based）。它基于Internet骨干网异常流量发现原理,通过对端口、长度分布、TCP标志等直接变量（Direct Variable）的监测,并结合统计学中的时间序列分析方法,实时分析发现流量异常,并提出告警。文中提出了多种事件联合监测的概念,从流量监测角度有效地对付已知流量威胁（如已知蠕虫）,并对未知流量威胁提供了相应的监测策略。     

一种支持流量工程的MPLS网络改进模型

本文提出了一种根据业务特性对网络应用进行分类的方法，设计了一种支持流量工程的MPLS网络改进模型，给出了该模型的路由机制、资源分配、服务质量保证和流量工程策略等机制，最后分析了该网络模型的利弊。     

校园骨干网流量监控系统设计与实现

介绍了网络性能测量领域目前使用的两种方法,然后采用被动测量技术,结合开源软件,设计并实现了校园骨干网流量监控系统.该系统使用循环轮转型文件存储数据,解决了因数据存储量过大而导致系统计算效率低的问题.同时,该系统可以实时直观地显示各条链路的流量负载情况,为制定路由策略和网络建设规划提供参考.