简介：TG@luotuoemo
本文由阿里云代理商【聚搜云】撰写
高查询速率
- 单位时间查询量大：攻击者会在短时间内向DNS服务器发送大量的查询请求，使得DNS服务器的查询处理速率远超正常水平。例如，正常情况下DNS服务器每秒可能处理几十到几百个查询请求，但在遭受攻击时，每秒可能会收到数千甚至数万个查询请求。
- 持续高流量：攻击流量会持续不断地涌入DNS服务器，导致服务器的带宽和处理资源被大量占用，无法及时响应正常的查询请求，从而影响DNS服务的正常运行。
随机域名生成
- 随机前缀或后缀：攻击者会生成大量带有随机前缀或后缀的域名进行查询。这些随机域名通常是不存在的，目的是让DNS服务器进行大量的无效查询和递归解析，消耗其资源。
- 无规律可循：这些随机生成的域名没有明显的规律和实际意义，与正常业务中的域名查询模式明显不同。例如，正常业务中可能会查询与公司业务相关的域名，而攻击中的随机域名则可能是完全无意义的字符组合。
源IP地址异常
- 大量不同源IP：攻击流量往往来自大量的不同源IP地址，这些IP地址可能是攻击者控制的僵尸网络中的设备IP，也可能是被伪造的IP地址。大量的不同源IP地址使得攻击流量难以被简单地通过限制某个或某几个IP地址来阻止。
- IP地址分布异常：攻击中的源IP地址分布可能与正常流量存在明显差异。例如，正常流量的源IP地址可能集中在某些特定的地区或网络段，而攻击中的源IP地址则可能分布得非常分散，甚至来自全球各地。
查询类型集中
- 特定查询类型为主：在DNS查询泛洪攻击中，攻击者可能会集中发送某一类或某几类特定的查询类型，如A记录查询、MX记录查询等。这种集中性的查询类型分布与正常业务中的多样化查询类型有所不同，可以作为检测攻击的一个特征。
- 单一查询类型重复：攻击者可能会反复发送同一种查询类型，例如连续不断地发送对某个不存在的域名的A记录查询，以此来增加DNS服务器的负担。
高比例的查询失败
- 无响应或超时：由于攻击者发送的大量查询请求是针对不存在的域名或随机生成的域名，DNS服务器在查询过程中往往无法找到相应的解析结果，导致查询请求无响应或超时。这会使得DNS服务器的资源被长时间占用在等待响应上，降低了其处理正常查询的效率。
- 响应错误率高：在攻击期间，DNS服务器可能会返回大量的错误响应，如NXDOMAIN（域名不存在）响应等。这些错误响应的比例会远高于正常业务情况下的水平。
频繁的递归查询
- 大量递归查询请求：攻击者会发送大量的递归查询请求，要求DNS服务器进行递归解析。递归查询需要DNS服务器逐级向上查询域名的解析结果，这一过程相对复杂且耗时，会消耗大量的服务器资源。攻击者通过大量发送递归查询请求，可以使DNS服务器陷入繁忙状态，无法及时处理正常的查询请求。
- 递归查询深度异常：正常情况下，递归查询的深度有一定的限制，而攻击中的递归查询可能会出现异常的深度，例如查询过程需要经过多个层级的DNS服务器才能完成，这会进一步增加DNS服务器的负担。
检测DNS查询泛洪攻击的方法主要包括以下几种：
- 基于阈值的检测：通过设置查询速率、源IP地址请求次数等阈值，当检测到超过阈值的情况时，判断可能存在DNS查询泛洪攻击。
- 行为分析与异常检测：分析DNS查询的行为模式，识别与正常行为模式存在显著差异的异常查询行为，如随机域名生成、特定查询类型的集中等。
- 流量分析与模式匹配：对DNS流量进行实时监测和分析，识别符合已知攻击模式的流量特征，如大量的查询请求来自同一或多个源IP地址、高比例的查询失败等。
- 利用安全工具与服务：使用专业的网络安全工具和云安全服务，如入侵检测系统（IDS）、分布式拒绝服务（DDoS）防护服务等，来检测和防御DNS查询泛洪攻击。
