一、選擇一個(gè)可靠的主機(jī)

DNS DDoS攻擊是指利用DNS協(xié)議特點(diǎn)，對(duì)DNS服務(wù)器進(jìn)行分布式拒絕服務(wù)攻擊，通過(guò)控制僵尸網(wǎng)絡(luò)對(duì)DNS服務(wù)器發(fā)送大量的域名解析請(qǐng)求，從而導(dǎo)致被攻擊的DNS服務(wù)器無(wú)法響應(yīng)正常請(qǐng)求。

由于DNS通常采用無(wú)連接不可靠的UDP協(xié)議，攻擊者可以將請(qǐng)求偽裝成來(lái)自不同地方的IP地址，更好地隱藏自己不被追溯，使得針對(duì)DNS發(fā)動(dòng)DDoS攻擊變得更加容易，也更加難以防范。

為了有效抵御DNS DDoS攻擊，可以考慮從以下幾個(gè)方面做出應(yīng)對(duì)：

1.增強(qiáng)DNS服務(wù)器的性能和帶寬，采用高性能的服務(wù)器和網(wǎng)絡(luò)設(shè)備，提高DNS服務(wù)器的處理能力和抗攻擊能力，是應(yīng)對(duì)DNS DDoS攻擊的主要手段之一。

然而DDoS攻擊并非經(jīng)常發(fā)生，長(zhǎng)時(shí)間購(gòu)入超大寬帶并不現(xiàn)實(shí)，因此彈性帶寬被廣泛采用。中科三方云解析DNS系統(tǒng)所采用的彈性帶寬功能，能夠有效應(yīng)對(duì)DDoS攻擊所帶來(lái)的帶寬消耗問(wèn)題。當(dāng)服務(wù)器未遭受攻擊時(shí)，云解析DNS帶寬設(shè)定為保障用戶可以正常請(qǐng)求的資源量。一旦監(jiān)測(cè)到服務(wù)器遭受DDoS攻擊，帶寬會(huì)在瞬間放大，保證有足夠的冗余流量，確保解析線路不被擁塞，能夠快速響應(yīng)正常的解析請(qǐng)求。

此外，還可以考慮CDN等外部服務(wù)來(lái)擴(kuò)展DNS服務(wù)器的帶寬以及抗攻擊能力。

2.使用DNS緩存機(jī)制。DNS緩存機(jī)制可以避免每次都進(jìn)行全球遞歸查詢，直接從緩存中獲取記錄結(jié)果，縮短了DNS解析查詢的時(shí)間。此外DNS緩存機(jī)制的使用，還能減少權(quán)威解析服務(wù)器的查詢壓力，從而降低DNS DDoS攻擊對(duì)DNS服務(wù)器的影響。但需要注意的是DNS緩存是一把雙刃劍，它的好處是可以提升解析效率，降低權(quán)威服務(wù)器的壓力，其弊端是DNS緩存容易被攻擊者利用進(jìn)行投毒攻擊，將訪客引導(dǎo)至錯(cuò)誤的站點(diǎn)。

3.建立全局的監(jiān)控和預(yù)警機(jī)制。建立全局的監(jiān)控和預(yù)警機(jī)制可以及時(shí)發(fā)現(xiàn)和應(yīng)對(duì)DNS DDoS攻擊，通過(guò)使用安全審計(jì)、日志分析、流量監(jiān)測(cè)等手段來(lái)實(shí)時(shí)監(jiān)控DNS服務(wù)器的運(yùn)行狀態(tài)，及時(shí)發(fā)現(xiàn)異常情況并作出處理。

中科三方云解析在海內(nèi)外設(shè)置多個(gè)解析監(jiān)測(cè)節(jié)點(diǎn)，能夠通過(guò)ping命令、TCP/UDP探測(cè)和http（s）協(xié)議等方式對(duì)服務(wù)器健康情況進(jìn)行監(jiān)測(cè)，當(dāng)遭受DDoS攻擊時(shí)，云解析系統(tǒng)會(huì)根據(jù)負(fù)載均衡策略，將流量分?jǐn)傊敛煌?wù)器，保障各條線路都有一定的流量冗余。

4.限制DNS請(qǐng)求頻率和IP地址數(shù)量?？梢酝ㄟ^(guò)速率限制、IP封鎖和反垃圾郵件等技術(shù)控制DNS請(qǐng)求的頻率和IP地址數(shù)量，能夠有效減少DNS DDoS攻擊的影響。

中科三方除了利用彈性帶寬去“硬抗”DDoS攻擊外，還能根據(jù)特定的流量算法，對(duì)發(fā)起解析請(qǐng)求的IP地址做出精準(zhǔn)判斷，智能識(shí)別哪些是正常的請(qǐng)求，哪些是惡意的攻擊，從而對(duì)惡意流量做出及時(shí)過(guò)濾和清洗。

5.安裝DDoS 防火墻。中科三方云解析配備專業(yè)的DDoS防火墻，可有效抵御DDoS、UDP Flood、ICMP、GMP、SYN Flood、ARP攻擊、非TCP/IP協(xié)議層攻擊等其他多種的未知攻擊，DDoS防火墻獨(dú)特的抗攻擊算法，可實(shí)現(xiàn)使用極少資源防御大量攻擊的效果。DDoS防火墻還具備監(jiān)控功能，一旦發(fā)現(xiàn)服務(wù)器遭受攻擊，客戶端和服務(wù)器端將同時(shí)收到警告信息。

6.加強(qiáng)網(wǎng)絡(luò)安全意識(shí)和培訓(xùn)。網(wǎng)絡(luò)安全意識(shí)和培訓(xùn)是防御DNS DDoS攻擊的重要環(huán)節(jié)，對(duì)網(wǎng)絡(luò)管理員進(jìn)行專業(yè)技能培訓(xùn)，提高網(wǎng)絡(luò)安全意識(shí)，能夠避免在工作中造成安全漏洞和失誤。