基于透明代理的域名系统隐患分析与防御策略 (2011年)

域名系统现有机制无法对域名解析请求和应答的信息来源进行有效确认，使得攻击者能够伪造数据对域名系统进行攻击，该文在对域名系统安全隐患分析的基础上，提出了一种透明代理的安全组件，不需改变现有域名系统的架构与通信机制，实现了对域名解析请求和应答信息的鉴别与过滤。该透明代理运行在2种工作模式即选择性重查询模式和安全标签查询模式，能够根据安全要求和风险水平在2种模式之间进行动态切换。仿真分析表明：这种架构使得攻击域名系统的成功率大为降低，明显提高了系统安全性，同时对系统平均查询时间和网络吞吐率影响较小。