DNS攻击分析-中国域名服务及安全现状报告

中国域名服务及安全现状报告1中国域名服务及安全现状报告中国域名服务及安全现状报告2目录报告摘要....................................................................................................3第一章域名服务体系说明..................................................................4第二章域名服务体系监测结果..........................................................6一、根域名服务系统..........................................................................................................................6二、顶级域服务系统..........................................................................................................................7（一）总体情况..............................................................................................................................7（二）软件版本类型......................................................................................................................7三、二级及以下权威域名服务系统..................................................................................................8（一）地域分布..............................................................................................................................8（二）所属运营商..........................................................................................................................8（三）软件版本类型......................................................................................................................9（四）协议支持程度....................................................................................................................10四、递归域名服务系统....................................................................................................................11（一）地域分布............................................................................................................................11（二）所属运营商........................................................................................................................12（三）软件版本类型....................................................................................................................12（四）协议支持程度....................................................................................................................14（五）递归域名服务器端口随机性............................................................................................15第三章国内重点权威域名安全抽样................................................16第四章DNSSEC及全球实施状况...................................................18第五章域名服务风险分析和安全建议............................................22附录1术语定义......................................................................................25附录2全球技术动态及安全事件..........................................................26中国域名服务及安全现状报告3报报告告摘摘要要截至2010年8月10日，监测到世界范围内域名服务器总量为16,306,432个，其中权威域名服务器2,903,550个，递归域名服务器13,402,882个。活跃域名服务器数量为1,375,219个，其中权威域名服务器619,797个，递归域名服务器755,422个。截至2010年8月10日，监测到国内的域名服务器总量为978,713个，其中权威域名服务器107,540个，递归域名服务器871,173个。国内活跃域名服务器数量为67,235个，其中权威域名服务器19,281个，递归域名服务器47,954个。国内的域名服务器大多分布在广东、北京、中国台湾、上海等互联网发达的地区。其中排名前10的地区域名服务器总量占全国域名服务器总量的90%以上。对国内的所有权威服务器进行扫描，统计发现，62%以上使用Unix/Linux系统，95%以上使用ISCBIND软件。国内的权威域名服务器中53%开启了递归查询功能，远大于全球范围内31%的比率，存在一定的安全隐患。对国内的所有递归域名服务系统进行全面扫描，统计发现，55%以上使用了Unix/Linux系统，94%以上使用ISCBIND软件。统计发现，国内超过4%的递归域名服务器端口随机性较差，容易遭受DNS劫持攻击，远高于全球范围0.98%的平均水平。对国内重要信息系统所涉域名抽样统计发现，57%的域名解析服务处于有风险的状态，其中11.8%的域名因配置管理不当，处于较高风险状态。中国域名服务及安全现状报告4第第一一章章域域名名服服务务体体系系说说明明域名（DomainName）是由一串用点分隔的字符组成的互联网名称，是用于识别和定位互联网上计算机的层次结构式字符标识，类似于互联网上的门牌号码。域名系统（DNS）是逐级授权的分布式数据查询系统，主要用于完成域名到IP地址的翻译转换功能。绝大多数互联网应用都基于域名系统开展，绝大多数互联网通信都必须先通过域名系统完成域名到IP地址的寻址转换。图1域名系统的位置角色域名服务体系包括提供域名服务的所有域名系统，它包括两大部分、四个环节：即递归域名服务系统，以及由根域名服务系统、顶级域名服务系统、和其他各级域名服务系统组成的权威域名解析服务体系。中国域名服务及安全现状报告5图2域名服务体系的构成示意域名服务体系中，根域名服务系统由ICANN授权的是十三家全球专业域名管理机构提供运营支持，顶级域名服务系统由ICANN签约的商业机构、或各国政府授权的科研管理机构负责运行维护，因此这两个环节的稳定运行有所保障。而大量的二级及二级以下权威域名服务器分散在域名持有者手中，由政府、企事业单位、商业网站、终端网民自我运行或托管在第三方；递归域名服务器一般由各网络接入机构提供。这两个环节是数量众多、而安全状况相对薄弱的两个环节，根据监测和统计，两个环节的活跃的服务器619,797台套和755,422台套，相对安全的服务器比例不足半数。其主要原因在于这两个环节的服务器众多、管理分散、规模有限，维护人员的技术水平也参差不齐，缺乏综合专业的安全服务能力。中国域名服务及安全现状报告6第第二二章章域域名名服服务务体体系系监监测测结结果果一、根域名服务系统根服务器的分布情况对互联网的访问性能有很大的影响。截至目前，全球域名系统13个根服务器在全球的镜像服务器数量共206个。根服务器及其镜像在欧洲有72个、美国51个、亚洲45个，中国大陆有F根、I根和J根的镜像服务器。表1根域名服务器及其镜像的基本状况根服务器运营者镜像个数IP地址AS号平均访问时间（毫秒）AVeriSign,Inc.6IPv4:198.41.0.4IPv6:2001:503:BA3E::2:3019836285BInformationSciencesInstitute1IPv4:192.228.79.201IPv6:2001:478:65::534212CCogentCommunications6IPv4:192.33.4.122149215DUniversityofMaryland1IPv4:128.8.10.9027278ENASAAmesResearchCenter1IPv4:192.203.230.10297216FISC49*IPv4:192.5.5.241IPv6:2001:500:2f::f35574GU.S.DODNIC6IPv4:192.112.36.45927312HU.S.ArmyResearchLab1IPv4:128.63.2.53IPv6:2001:500:1::803f:23513277IAutonomica34*IPv4:192.36.148.17IPv6:2001:7fe::53292161JVeriSign,Inc.70*IPv4:192.58.128.30IPv6:2001:503:C27::2:30264153KRIPENCC18IPv4:193.0.14.129IPv6:2001:7fd::125152133LICANN7IPv4:199.7.83.42IPv6:2001:500:3::4220144264MWIDEProject6IPv4:202.12.27.33IPv6:2001:dc3::357500105*表示在国内有镜像服务中国域名服务及安全现状报告7二、顶级域服务系统（一）总体情况根据国际互联网域名体系的构成，顶级域名分为三类：通用顶级域名（gTLD，GeneralTopLevelDomain）、国家与地区顶级域名（ccTLD，CountryCodeTopLevelDomain）和基础设施类顶级域（目前仅有.arpa）。其中通用顶级域gTLD共有20个，可细分为组织主办类（Sponsored）13个，通用类（Generic）