华为Anti-DDoS技术漫谈--第2篇 DNS（九）

对于缓存投毒攻击，Anti-DDoS系统采用会话检查模式进行防御。如图2-31所示，在防御过程中，Anti-DDoS系统检查DNS回应报文的会话五元组信息（源IP地址、目的IP地址、源端口号、目的端口号、协议）,Query ID和域名是否与缓存服务器发出的DNS请求报文一致。

缓存投毒攻击防御流程如下。

① 当缓存服务器向授权服务器发出域名查询请求时，Anti-DDoS 系统记录会话信息及请求报文中的Query ID和域名。

② Anti-DDoS 系统收到回应报文后，需检查会话五元组、回应报文中的 Query ID和域名与请求报文中的Query ID和域名是否匹配

• 如果报文命中会话五元组，并且Query ID和域名与记录的请求报文中的Query ID和域名匹配，则放行该报文。

• 如果报文没有命中会话，则被丢弃。

如果该报文命中会话，但是其域名或Query ID与请求报文不匹配，则该报文被丢弃，同时该会话被删除，以免后续投毒报文完成投毒攻击。