云解析DNS如何有效应对频发的DDoS攻击？（中科三方）

欢迎大家来到IT世界,在知识的湖畔探索吧!

DNS作为互联网运行的核心基础资源，承担着将域名指向IP的重要寻址功能，是保障网络互联互通的基础和前提。DNS安全无法得到保障，导航系统失效，整个网络空间就会陷入混乱无序的状态。

正是由于其在网络中的特殊位置和作用，DNS长期以来都是网络攻击的重点对象。随着网络技术的快速更新迭代以及国际形势的复杂化演进，DNS安全问题日益凸显，对网络环境的安全稳定造成了严重威胁。而在众多DNS攻击中，对DNS安全危害最大的无疑是DDoS攻击。

什么是DNS DDoS攻击

DDoS攻击是DoS攻击的升级版，与DoS攻击不同，DDoS攻击将处于不同位置的多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍提高攻击威力，在短时间内通过超大流量攻击耗尽被攻击目标的服务器带宽资源，淹没系统，造成服务器无法响应正常请求甚至宕机。

需要说明的是DDoS攻击的目标不仅限于web服务器，DNS解析服务器同样会成为DDoS攻击的对象。DNS系统是开放不间断的系统，任何人都可以对DNS系统发起域名请求，且DNS采用的是无连接、不可靠UDP协议，攻击者可以很好地隐藏自己不被追溯，这就使得针对DNS系统发动攻击变得更加容易，也更难防范。

DNS DDoS攻击的危害

DNS遭受DDoS攻击所造成的危害是巨大的，DDoS攻击严重消耗DNS服务器带宽，导致正常的解析请求得不到响应，其所管辖的所有域名的解析访问都会受到严重影响，所造成的破坏力是惊人的。2016年美国的“黑色星期五”事件，导致大半个美国“断网”，就是由于美国的DNS服务商Dyn遭遇大规模DDoS攻击所造成的。

传统解析技术在面对DDoS攻击时，并没有有效的应对手段，往往仅凭自身带宽去硬扛，很容易造成服务器资源被消耗一空，使得其他正常的域名解析请求得不到响应。在网络环境日益复杂，DNS攻击频发的背景下，传统解析技术已经无法满足广大政府机关和企业对DNS安全的迫切需求。

云解析DNS如何应对DDoS攻击

采用具备高防DNS的新一代云解析，通过健康监测、弹性带宽、流量清洗等技术手段实现对DDoS攻击的主动监测和防御，是一种比被动挨打和遭受攻击后再反击更有效的保障措施。

弹性带宽

虽然DDoS攻击时有发生，但长时间购买超大带宽并不现实，因此弹性带宽被广泛采用。当服务器未遭受攻击时，带宽设定为保障客户可以正常请求的资源量，一旦监测到服务器遭受DDoS攻击，带宽瞬间放大，保证足够的流量冗余，确保解析线路不会拥堵，能够快速响应正常的解析请求。

流量清洗

在面对DDoS攻击时，云解析DNS不再像传统解析一样对恶意流量听之任之，仅凭自身带宽去硬扛，而是会通过特定的网络流量算法，对发起解析请求的IP做出精准判断，智能识别正常请求和恶意攻击，并对恶意流量做出及时清洗和过滤。当再次检测到相同地址的恶意请求时，会直接交由缓存系统应答，缓解DNS服务器所承受的攻击压力。

DDoS防火墙

云解析配备专业的DDoS防火墙，可有效抵御DDoS、UDP Flood、ICMP、GMP、SYN Flood、ARP攻击、非TCP/IP协议层攻击等其他多种的未知攻击，DDoS防火墙独特的抗攻击算法，可实现使用极少资源防御大量攻击的效果。DDoS防火墙还具备监控功能，一旦发现服务器遭受攻击，客户端和服务器端将同时收到警告信息。

健康监测/宕机切换

云解析在国内和海外设置多个解析监测节点，可以通过ping命令、TCP/UDP探测和http（s）协议等方式对网站健康程度进行实时监测。当遭受DDoS攻击时，云解析系统会根据负载均衡策略，将流量分摊至不同服务器，保障各条线路都有一定的流量冗余。如果监测到服务器宕机现象发生时，云解析系统会立即将解析切换至备用服务器上，以维持业务系统的高可用性。

… …

DDoS攻击作为最常见和破坏性最强的攻击手段，对DNS的安全造成了严重威胁。云解析作为替代传统解析的新一代解析技术，其所具备的高防DNS功能，在应对频发的DDoS攻击时，一改以往被动挨打的局面，表现得更为智能、更为主动，通过弹性带宽、流量清洗、DDoS防火墙构建起坚实的DDoS防护盾，形成对DDoS攻击的有效监测和防御，是抵御DNS DDoS攻击最有效的技术手段之一。