导致网络连接不稳定：如果 DNS 复位后，设备无法自动获取正确的 DNS 服务器地址，可能会导致网络连接不稳定，甚至无法连接互联网。
导致网络速度变慢：DNS 复位可能会使设备的 DNS 缓存被清空，这会导致设备需要重新查询 DNS 服务器来获取域名对应的 IP 地址，从而导致网络速度变慢。
导致设备设置丢失：DNS 复位可能会清除设备的其他设置，例如无线网络设置、网络共享设置等，这会导致设备的功能受到影响，需要重新设置。
导致安全问题：如果设备的 DNS 设置被非法修改，进行 DNS 复位可能会导致这些恶意设置被清除，从而导致安全问题。
综上所述，进行 DNS 复位可能会带来一些不良后果，因此需要谨慎 *** 作，并在复位前备份设备的设置，以便在需要时进行恢复。第一章 总则第一条 为促进中国互联网络的健康发展，保障中国互联网络域名系统安全、可靠地运行，规范中国互联网络域名系统管理和域名注册服务，根据国家有关规定，参照国际上互联网络域名管理准则，制定本办法。第二条 在中华人民共和国境内从事域名注册服务及相关活动，应当遵守本办法。第三条 本办法下列用语的含义是：
（一）域名：是互联网络上识别和定位计算机的层次结构式的字符标识，与该计算机的互联网协议（IP）地址相对应。
（二）中文域名：是指含有中文文字的域名。
（三）域名根服务器：是指承担域名体系中根节点功能的服务器。
（四）域名根服务器运行机构：是指承担运行、维护和管理域名根服务器的机构。
（五）顶级域名：是指域名体系中根节点下的第一级域的名称。
（六）域名注册管理机构：是指承担顶级域名系统的运行、维护和管理工作的机构。
（七）域名注册服务机构：是指受理域名注册申请，直接完成域名在国内顶级域名数据库中注册、直接或间接完成域名在国外顶级域名数据库中注册的机构。第四条 信息产业部负责中国互联网络域名的管理工作，主要职责是：
（一）制定互联网络域名管理的规章及政策；
（二）制定国家（或地区）顶级域名CN和中文域名体系；
（三）管理在中华人民共和国境内设置并运行域名根服务器（含镜像服务器）的域名根服务器运行机构；
（四）管理在中华人民共和国境内设立的域名注册管理机构和域名注册服务机构；
（五）监督管理域名注册活动；
（六）负责与域名有关的国际协调。第五条 任何组织或者个人不得采取任何手段妨碍中华人民共和国境内互联网域名系统的正常运行。第二章 域名管理第六条 我国互联网的域名体系由信息产业部以公告形式予以公布。根据域名发展的实际情况，信息产业部可以对互联网的域名体系进行调整，并发布更新公告。第七条 中文域名是我国域名体系的重要组成部分。信息产业部鼓励和支持中文域名系统的技术研究和逐步推广应用。第八条 在中华人民共和国境内设置域名根服务器及设立域名根服务器运行机构，应当经信息产业部批准。第九条 申请设置互联网域名根服务器及设立域名根服务器运行机构，应当具备以下条件：
（一）具有相应的资金和专门人员；
（二）具有保障域名根服务器安全可靠运行的环境条件和技术能力；
（三）具有健全的网络与信息安全保障措施；
（四）符合互联网络发展以及域名系统稳定运行的需要；
（五）符合国家其他有关规定。第十条 申请设置域名根服务器及设立域名根服务器运行机构，应向信息产业部提交以下书面申请材料：
（一）申请单位的基本情况；
（二）拟运行维护的域名根服务器情况；
（三）网络技术方案；
（四）网络与信息安全技术保障措施的证明。第十一条 在中华人民共和国境内设立域名注册管理机构和域名注册服务机构，应当经信息产业部批准。第十二条 申请成为域名注册管理机构，应当具备以下条件：
（一）在中华人民共和国境内设置顶级域名服务器（不含镜像服务器），且相应的顶级域名符合国际互联网域名体系和我国互联网域名体系；
（二）有与从事域名注册有关活动相适应的资金和专业人员；
（三）有从事互联网域名等相关服务的良好业绩和运营经验；
（四）有为用户提供长期服务的信誉或者能力；
（五）有业务发展计划和相关技术方案；
（六）有健全的域名注册服务监督机制和网络与信息安全保障措施；
（七）符合国家其他有关规定。第十三条 申请成为域名注册管理机构的，应当向信息产业部提交下列材料：
（一）有关资金和人员的说明材料；
（二）对境内的顶级域名服务器实施有效管理的证明材料；
（三）证明申请人信誉的材料；
（四）业务发展计划及相关技术方案；
（五）域名注册服务监督机制和网络与信息安全技术保障措施；
（六）拟与域名注册服务机构签署的协议范本；
（七）法定代表人签署的遵守国家有关法律、政策和我国域名体系的承诺书。第十四条 从事域名注册服务活动，应当具备下列条件：
（一）是依法设立的企业法人或事业法人；
（二）注册资金不得少于人民币100万元，在中华人民共和国境内设置有域名注册服务系统，且有专门从事域名注册服务的技术人员和客户服务人员；
（三）有为用户提供长期服务的信誉或者能力；
（四）有业务发展计划及相关技术方案；
（五）有健全的网络与信息安全保障措施；
（六）有健全的域名注册服务退出机制；
（七）符合国家其他有关规定。
(一) 2000年8月31日 新浪网曾“被黑”；
(二) 2006年9月12日，百度遭黑客攻击，导致百度搜索服务在全国各地出现了近30分钟的故障，在对百度服务器执行“Ping”命令时发现域名丢包率达到100%；
(三) 2008年12月2日 ，中国中央电视台的官方网站CCTV的音乐频道被一名自称“小波”的黑客侵入并修改了页面，并留下挑衅的字语。
(四) 2009年8月，Twitter和社交网站Facebook分别遭遇黑客攻击，致使Twitter服务瘫痪，而Facebook也严重受创，服务速度大为减慢；
(五) 2009年5月，美国网络搜索引擎巨头谷歌遭遇黑客攻击，其阿尔及利亚、波多黎各和摩洛哥、乌干达等地的域名主页均发生过被黑客劫持的情况；
（六）2011年7月6日下午16点百度再次出现大面积不能访问，据报道是前端服务器原因造成
专家观点
对此重大突发性事件，长期关注搜索引擎与网络营销的中国电子商务研究中心搜索引擎分析师卜梓琴给出以下评论与独家观点(欢迎新闻媒体与各界人士引用或讨论)：
(1)暴露了国内互联网企业安全隐患。“百度被黑”事件本身暴露了我国互联网企业诸多问题，不仅是事先安全防范意识和监控措施，还有在出现突发性故障后的应急反应机制方面，所以互联网企业需自身提高技术创新与突破，掌握核心技术；提高技术监管与防范，设置预警方案，比如技术处理方案、设置备用域名、公关关系处理方案等；
(2) 互联网域名服务器安全性未受到应有重视。此次攻击黑客利用了DNS记录篡改的方式。根本原因在于互联网域名的DNS管理服务器安全性未受到应有的重视。并提醒称，绝大多数域名都存在类似安全风险，使得DNS存在很多安全隐患。
(3) 搜索引擎市场竞争机制有待进一步完善。搜索引擎是互联网的一个核心节点，是网民上网不可缺少的工具。在短时间内，而百度作为中国搜索引擎的“旗舰”，被破坏后的替代品竟是谷歌，国内其他搜索引擎有道等没有扮演谷歌的角色。
(4) 互联网产业网络安全亟待进一步加强。互联网战场是未来各国必争之地，未来的“网络战争”也很有可能打响。互联网产业直接影响该国的社会和经济等诸多领域，甚至造成大面积的行业瘫痪，这影响不亚于国家基础产业和战略产业被人牵制、乃至控制。
(5) 即使企业网站安全级别很高，技术精良，但仍存在薄弱环节，需进一步调整、巩固和加强互联网结构。
(6) 从该事件引发的种种“连锁反应”，也从侧面反映了搜索引擎作为用户使用全球互联网的一“节点”的重要地位。而百度，无疑已深入中国网民的生活，与网友的生活密不可分。换句话说，互联网已经深入到每个人的工作、学习、商务、休闲的每一个环节。
(7) 因为百度庞大的用户群体、市场占有率等因素以及媒体关注度，使他具有很高的媒体关注度，若加之百度运作合理，‘百度被黑’极有可能成为“2010十大网络事件”，若百度运作得到，力挽狂澜，还有可能成为网络营销的经典案例。
(8)面对当前国际政治经济局势的错综复杂，部分极端分子通过攻击一些具有全球影响力的大网站的手段来彰显自己的影响力、开展政治宣传、甚至向异己示威并进行要挟，其影响力效果，甚至可能不亚于制造一个类似911的事件。
(9)由于目前我国没有DNS根服务器(全世界13台DNS根服务器均设在美国)，我国的DNS请求实际上由一台台镜像服务器负责处理，镜像服务器分布于世界各地，由国家专属机构负责维护。
(10)众所周知，国际互联网技术和游戏规则都是美国人制定和把控的，我们没有核心技术。与2009年5月30日轰动一时的“微软封杀五国MSN服务事件”道理如出一辙，这次“百度事件”再次提醒并鞭策我们：落后与被动只能处处挨打，中国的互联网企业不仅需要不断提高技术创新与监管力度，还是牢牢把握互联网话语权和规则制定权，争取自主知识产权，才能加强信息安全，也才能使得我们的互联网产业是真正自主可控，也才能长期稳定、持续与健康发展的。
域名解析整体流程：
这张图的右侧部分就是网站域名的“地址簿”，也就是权威域名服务器，左边是用户侧的部分，从图中就可以看出来，主机浏览器并没有直接访问域名系统进行查询，而是通过本地域名服务器实现域名查询的 *** 作。
1: 用户在浏览器地址栏输入>、背景
域名系统(Domain Name System，DNS)是互联网的重要基础设施之一，负责提供域名和IP地址之间的映射和解析，是网页浏览、电子邮件等几乎所有互联网应用中的关键环节。因此，域名系统的稳定运行是实现互联网正常服务的前提。近年来，针对域名系统的网络攻击行为日益猖獗，DNS滥用现象层出不穷，再加上DNS协议本身固有的局限性，域名系统的安全问题正面临着严峻的考验。如何快速有效的检测域名系统的行为异常，避免灾难性事件的发生，是当今域名系统乃至整个互联网所面临的一个重要议题。
DNS服务器通过对其所接收的DNS查询请求进行应答来实现对外域名解析服务，因此DNS查询数据流直接反映了DNS服务器对外服务的整个过程，通过对DNS流量异常情况的检测可以对DNS服务器服务状况进行有效的评估。由于导致DNS流量异常的原因是多方面的，有些是由针对DNS服务器的网络攻击导致的，有些是由于DNS服务系统的软件缺陷或配置错误造成的。不同的原因所引起的DNS流量异常所具备的特征也各不相同，这给DNS流量异常检测带来了诸多困难。
目前，在DNS异常流量检测方面，比较传统的方法是对发往DNS服务器端的DNS查询请求数据流中的一个或多个测量指标进行实时检测，一旦某时刻某一指标超过规定的阈值，即做出流量异常报警。这种方法虽然实现简单，但是仅仅通过对这些指标的独立测量来判定流量是否异常过于片面，误报率通常也很高，不能有效的实现异常流量的检测。
近年来，随着模式识别、数据挖掘技术的发展，开始有越来越多的数据模型被引入到DNS异常流量检测领域，如在[Tracking]中，研究人员通过一种基于关联特征分析的检测方法，来实现对异常DNS服务器的识别和定位；[Context]则引入了一种上下文相关聚类的方法，用于DNS数据流的不同类别的划分；此外，像贝叶斯分类[Bayesian]、时间序列分析[Similarity]等方法也被先后引入到DNS异常流量检测中来。
不难发现，目前在DNS异常流量检测方面，已有诸多可供参考利用的方法。但是，每种方法所对应的应用场合往往各不相同，通常都是面向某种特定的网络攻击活动的检测。此外，每种方法所采用的数据模型往往也比较复杂，存在计算代价大，部署成本高的弊端。基于目前DNS异常流量检测领域的技术现状，本文给出了两种新型的DNS流量异常检测方法。该两种方法能够有效的克服目前DNS异常流量检测技术所存在的弊端，经验证，它们都能够对DNS流量异常实施有效的检测。
2、具体技术方案
1）利用Heap’sLaw检测DNS流量异常
第一种方法是通过利用Heap’s定律来实现DNS流量异常检测。该方法创新性的将DNS数据流的多个测量指标进行联合分析，发现它们在正常网络状况下所表现出来的堆积定律的特性，然后根据这种特性对未来的流量特征进行预测，通过预测值和实际观测值的比较，实现网络异常流量实时检测的目的。该方法避免了因为采用某些独立测量指标进行检测所导致的片面性和误报率高的缺点，同时，该方法具有计算量小，部署成本低的特点，特别适合部署在大型DNS服务器上。
堆积定律(Heap’sLaw)[Heap’s]最早起源于计算语言学中，用于描述文档集合中所含单词总量与不同单词个数之间的关系：即通过对大量的英文文档进行统计发现，对于给定的语料，其独立的单词数（vocabulary的size）V大致是语料大小N的一个指数函数。随着文本数量的增加，其中涉及的独立单词（vocabulary）的个数占语料大小的比例先是突然增大然后增速放缓但是一直在提高，即随着观察到的文本越来越多，新单词一直在出现，但发现整个字典的可能性在降低。
DNS服务器通过对其所接收的DNS查询请求进行应答来实现对外域名解析服务。一个典型的DNS查询请求包由时间戳，来源IP地址，端口号，查询域名，资源类型等字段构成。我们发现，在正常网络状况下，某时间段内DNS服务器端所接收的DNS查询请求数和查询域名集合的大小两者间遵循堆积定律的特性，同样的，DNS查询请求数和来源IP地址集合的大小两者间也存在这种特性。因此，如果在某个时刻这种增长关系发生突变，那么网络流量发生异常的概率也会比较高。由于在正常网络状况下DNS服务器端所接收的查询域名集合的大小可以根据这种增长关系由DNS查询请求数推算得到。通过将推算得到的查询域名集合大小与实际观测到的查询域名集合的大小进行对比，如果两者的差值超过一定的阈值，则可以认为有流量异常情况的发生，从而做出预警。类似的，通过将推算得到的来源IP地址集合大小与实际观测到的来源IP地址集合的大小进行对比，同样可以达到异常流量检测的目的。
由于DNS流量异常发生时，DNS服务器端接收的DNS查询请求通常会异常增多，但是单纯凭此就做出流量异常的警报很可能会导致误报的发生。此时就可以根据观测查询域名空间大小的相应变化情况来做出判断。如果观测到的域名空间大小与推算得到的预测值的差值在允许的阈值范围之内，则可以认定DNS查询请求量的增多是由于DNS业务量的正常增长所致。相反，如果观测到的域名空间大小未发生相应比例的增长，或者增长的幅度异常加大，则做出流量异常报警。例如，当拒绝服务攻击(DenialofService)发生时，攻击方为了降低本地DNS缓存命中率，提高攻击效果，发往攻击对象的查询域名往往是随机生成的任意域名，这些域名通常情况下不存在。因此当该类攻击发生时，会导致所攻击的DNS服务器端当前实际查询域名空间大小异常增大，与根据堆积定律所推算出预测值会存在较大的差距，即原先的增长关系会发生突变。如果两者间的差距超过一定的阈值，就可以据此做出流量异常报警。
通过在真实数据上的测试和网络攻击实验的模拟验证得知，该方法能够对常见的流量异常情况进行实时高效的检测。
2）利用熵分析检测DDoS攻击
通过分析各种网络攻击数据包的特征，我们可以看出：不论DDoS攻击的手段如何改进，一般来说，各种DDoS工具软件所制造出的攻击都要符合如下两个基本规律：
1、攻击者制造的攻击数据包会或多或少地修改包中的信息；
2、攻击手段产生的攻击流量的统计特征不可能与正常流量一模一样。
因此，我们可以做出一个大胆的假设：利用一些相对比较简单的统计方法，可以检测出专门针对DNS服务器的DDoS攻击，并且这中检测方法也可以具有比较理想的精确度。
“熵”（Entropy）是德国物理学家克劳修斯(RudolfClausius，1822～1888)在1850年提出的一个术语，用来表示任何一种能量在空间中分布的均匀程度，也可以用来表示系统的混乱、无序程度。信息理论创始人香农（ClaudeElwoodShannon，1916～2001）在1948年将熵的概念引入到信息论中，并在其经典著作《通信的数学原理》中提出了建立在概率统计模型上的信息度量，也就是“信息熵”。熵在信息论中的定义如下：
如果在一个系统S中存在一个事件集合E={E1,E2,…,En}，且每个事件的概率分布P={P1,P2,…,Pn}，则每个事件本身所具有的信息量可由公式（1）表示如下：
熵表示整个系统S的平均信息量，其计算方法如公式（2）所示：
在信息论中，熵表示的是信息的不确定性，具有高信息度的系统信息熵是很低的，反过来低信息度系统则具有较高的熵值。具体说来，凡是导致随机事件集合的肯定性，组织性，法则性或有序性等增加或减少的活动过程，都可以用信息熵的改变量这个统一的标尺来度量。熵值表示了系统的稳定情况，熵值越小，表示系统越稳定，反之，当系统中出现的不确定因素增多时，熵值也会升高。如果某个随机变量的取值与系统的异常情况具有很强的相关性，那么系统异常时刻该随机变量的平均信息量就会与系统稳定时刻不同。如果某一时刻该异常情况大量出现，则系统的熵值会出现较大幅度的变化。这就使我们有可能通过系统熵值的变化情况检测系统中是否存在异常现象，而且这种强相关性也使得检测方法能够具有相对较高的准确度。
将熵的理论运用到DNS系统的DDoS攻击检测中来，就是通过测量DNS数据包的某些特定属性的统计特性（熵），从而判断系统是否正在遭受攻击。这里的熵值提供了一种对DNS的查询数据属性的描述。这些属性包括目标域名长度、查询类型、各种错误查询的分布以及源IP地址的分布，等等。熵值越大，表示这些属性的分布越随机；相反，熵值越小，属性分布范围越小，某些属性值出现的概率高。在正常稳定运行的DNS系统中，如果把查询数据作为信息流，以每条DNS查询请求中的某种查询类型的出现作为随机事件，那么在一段时间之内，查询类型这个随机变量的熵应该是一个比较稳定的值，当攻击者利用DNS查询发起DDoS攻击时，网络中会出现大量的攻击数据包，势必引起与查询类型、查询源地址等相关属性的统计特性发生变化。即便是黑客在发动攻击时，对于发送的查询请求的类型和数量进行过精心设计，可以使从攻击者到目标服务器之间某一路径上的熵值维持在稳定的水平，但绝不可能在所有的路径上都做到这一点。因此通过检测熵值的变化情况来检测DNS系统中异常状况的发生，不仅是一种简便可行的方案，而且还可以具有很好的检测效果。
DNS系统是通过资源记录（ResourceRecord，RR）来记录域名和IP地址信息的，每个资源记录都有一个记录类型（QType），用来标识资源记录所包含的信息种类，如A记录表示该资源记录是域名到IP地址的映射，PTR记录IP地址到域名的映射，NS记录表示域名的授权信息等，用户在查询DNS相关信息时，需要指定相应的查询类型。按照前述思想，我们可以采用DNS查询数据中查询类型的出现情况作为随机事件来计算熵的变化情况，从而检测DDoS攻击是否存在。检测方法的主要内容如图1所示。可以看出，通过比较H1和H2之间的差别是否大于某一个设定的阈值，可以判定系统是否正在遭受DDoS攻击。随着查询量窗口的不断滑动，这种比较会随着数据的不断更新而不断继续下去。检测算法的具体步骤如下所示：
1、设定一个查询量窗口，大小为W，表示窗口覆盖了W条记录。
2、统计窗口中出现的所有查询类型及其在所属窗口中出现的概率，根据公式（2）计算出该窗口的熵H1。
图1熵分析检测方法
3、获取当前窗口中第一条查询记录所属的查询类型出现的概率，求出该类型所对应的增量
4、将窗口向后滑动一条记录，此时新窗口中的第一条记录为窗口滑动前的第二条记录。
5、获得窗口移动过程中加入的最后一条记录所代表的查询类型在原窗口中出现的概率以及对应的增量
6、计算新窗口中第一条记录所对应的查询类型出现在新窗口中出现的概率，以及对应的增量
7、计算新窗口中最后一条记录所属的查询类型在当前窗口出现的概率以及对应的增量
8、根据前面的结果计算窗口移动后的熵：
重复步骤2至步骤8的过程，得到一系列的熵值，观察熵值的变化曲线，当熵值曲线出现剧烈波动时，可以断定此时的DNS查询中出现了异常。
窗口的设定是影响检测算法的一个重要因素，窗口越大，熵值的变化越平缓，能够有效降低误检测的情况发生，但同时也降低了对异常的敏感度，漏检率上升；反之，能够增加检测的灵敏度，但准确性相应的会降低。因此，窗口大小的选择，需要根据实际中查询速率的大小进行调整。
2009年5月19日，多省市的递归服务器由于收到超负荷的DNS查询而失效，中国互联网出现了大范围的网络瘫痪事故，这起事故可以看作是一起典型的利用DNS查询发起的分布式拒绝服务攻击，这种突发的大量异常查询混入到正常的DNS查询中，必然会使DNS查询中查询类型的组成发生变化。我们利用从某顶级结点的DNS权威服务器上采集到的2009年5月19日9:00-24:00之间的查询日志，来检验算法是否能够对DNS中的异常行为做出反应。图2和图3分别是窗口大小为1,000和10,000时所得到的熵变化曲线，图4是该节点的查询率曲线。
图2窗口大小为1,000时熵的变化情况
图3窗口大小为10,000时熵的变化情况
图4查询率曲线
从图2和图3中可以发现，大约从16:00时开始，熵值剧烈上升，这是由于此时系统中查询类型为A和NS的查询请求大量涌入，打破了系统原有的稳定态势，在经历较大的波动之后，又回复到一个稳定值。随着系统中缓存失效的递归服务器不断增多，该根服务器收到的异常数据量逐渐增大，在16:45左右熵值达到一个较低点，此时系统中已经混入了大量的异常查询数据。由于各省递归服务器的缓存设置的不一致，不断的有递归服务器崩溃，同时不断缓存失效的递归服务器加入，一直到21:00左右，这种异常查询量到达峰值，表现为熵值到达一个极低的位置，随着大批递归服务器在巨大的压力下瘫痪，查询数据的组成再次发生剧烈波动，接下来随着大面积断网的发生，异常查询无法到达该根服务器，熵值在经历波动之后又重新回到较稳定的状态，图4中的流量变化也证实了这一点。
图2和图3分别将查询窗口设为1,000和10,000，对比两图可以看出，图2中的熵值变化较为频繁，反映出对DNS异常更加敏感，但同时误检测的几率也较高，图3中熵值的变化相对平缓，对异常情况敏感程度较低，同时误检率也相对较低。
上述例子表明该方法能够及时发现DNS查询中针对DNS服务器的DDoS攻击。将该算法应用到DNS查询流量的实时监测中，可以做到准实时的发现DNS异常从而能够及早采取应对措施。此外，结合使用错误查询类型或者源IP地址等其他属性的分布来计算熵，或是采用时间窗口划分流量等，可以进一步提高异常检测的准确率。
3）利用人工神经网络分类器检测DDoS攻击
针对DDoS攻击检测这样一个典型的入侵检测问题，可以转换为模式识别中的二元分类问题。利用人工神经网络分类器和DNS查询数据可以有效检测针对DNS名字服务器的DDoS攻击。通过分析DNS权威或者递归服务器的查询数据，针对DDoS攻击在日志中所表现出来的特性，提取出若干特征向量，这些特征向量用作分类器的输入向量。分类器选择使用多层感知器，属于神经网络中的多层前馈神经网络。人工神经网络在用于DDoS攻击检测时具有以下显著优点：
1、灵活性。能够处理不完整的、畸变的、甚至非线性数据。由于DDoS攻击是由许多攻击者联手实施的，因此以非线性的方式处理来自多个数据源的数据显得尤其重要；
2、处理速度。神经网络方法的这一固有优势使得入侵响应可以在被保护系统遭到毁灭性破坏之前发出，甚至对入侵行为进行预测；
3、学习性。该分类器的最大优点是能够通过学习总结各种攻击行为的特征，并能识别出与当前正常行为模式不匹配的各种行为。
由于多层感知器具有上述不可替代的优点，因此选择它作为分类器。分类器的输出分为“服务正常”和“遭受攻击”两个结果，这个结果直接反应出DNS服务器是否将要或者正在遭受DDoS攻击。如果检测结果是“遭受攻击”，则相关人员可以及时采取措施，避免攻击行为的进一步发展。
图5DDoS攻击检测
如图5所示，本检测方法主要分为特征提取、模型训练和线上分类三个阶段。在特征提取阶段，需要利用DNS查询数据中已有的信息，结合各种DNSDDoS攻击的特点，提取出对分类有用的特征。模型训练阶段是通过大量的特征数据，模拟出上百甚至上千的DDoS攻击序列，对多层感知器进行训练，多层感知器在训练过程中学习攻击行为的特征，增强识别率。线上分类属于应用阶段，利用软件实现将本方法部署在DNS权威或递归服务器上。通过实时读取DNS查询数据，并将经过提取的特征输入到多层感知器中，就可以快速地识别出本服务器是否将要或正在遭受DDoS攻击，以便采取进一步防范措施。
多层感知器分类的精确率，在很大程度上取决于作为输入的特征向量是否能够真正概括、体现出DDoS攻击的特征。本方法通过仔细分析各种DNSDDoS攻击，以分钟为时间粒度提取出八种能够单独或者联合反映出攻击的特征：
1、每秒钟DNS查询量。这个特征通过对每分钟查询量进行平均获得；
2、每分钟时间窗口内查询率的标准差。公式如下：
其中，n表示每分钟内查询数据中记录的秒数，Xi表示某一秒钟的查询量，m表示一分钟内每秒钟查询量的均值；
3、IP空间大小。表示一分钟内有多少个主机发出了DNS查询请求；
4、域名空间大小。表示一分钟内有多少域名被访问；
5、源端口设置为53的查询数量。由于某些针对DNS的DDoS攻击将源端口设置为53，因此对这一设置进行跟踪十分必要；
6、查询记录类型的熵的变化情况。公式如下：
其中n表示时间窗口内记录类型的种类数，Pi表示某种记录类型出现的概率，Xi表示某种记录类型。
7、设置递归查询的比例。由于某些DDoS攻击会通过将查询设置为递归查询来增大攻击效果，因此对这一设置进行跟踪十分必要；
8、域名的平均长度。由于某些DDoS攻击所查询的域名是由程序随机产生的，这必然在查询数据上引起域名平均长度的变化，因此对域名的平均长度进行跟踪也很有意义。
图6人工神经网络分类器的结构
神经网络分类器的大致结构如图6所示。如图中所示，本分类器分为三个层次，一个输入层，一个隐藏层，一个输出层。输入层包含八个单元，隐藏层包含20个单元，按照神经网络理论[3]，隐藏层的单元数和输入层的单元数应满足以下关系：
H表示隐藏层单元数，N表示输入层单元数。输出层只含有一个单元，输出值包含两个：“1”表示“遭受攻击”，“0”表示“服务正常”。
本检测方法的关键技术点包括以下两个方面：
1、特征的抽取。这些特征必须能够充分、足够地反映DDos攻击发生时带来的查询状况的改变；
2、学习、分类方法。选取多层感知器作为分类器，设计调整了该分类器的具体结构和相关参数，并利用后向传播算法对分类器进行训练。通过将DDoS攻击检测问题转化为包含“服务正常”和“遭受攻击”两种类别的二元分类问题，能够有效地对DNSDDoS攻击进行实时检测。
需要从两个方面去回答这个问题，一个是有国外网络访问需求的用户，一个是仅限于国内网络访问需求的用户。一旦发生紧急情况，导致根域名服务器中断，真正能够产生影响的仅是具有国外网络访问的用户，国内网络访问用户几乎不会受到任何影响。为什么会有两种截然不同的结果呢？主要与域名服务器的工作原理有关。
域名服务器采取的是逐级查询的工作方式，用户具有网络访问需求之后，会先查询当地的域名服务器。这边会产生两种结果，如果能够查询到访问目标信息，则直接返回相关路径信息；若无法查询到访问目标信息，则会向上级域名服务器进行查询，如此不断查询直到发现访问目标信息。
理解了原理就很好解释这个问题了，国内网络访问需求根本不需要用到根域名服务器，本地域名服务器便能够解决，只有国外网络访问用户才会受到影响。国内已经建立多处根域名镜像服务器，虽无权限修改根域名服务器中的信息，但是却保存了一模一样所有的信息，只要海外主干光缆线路不中断，依然能够通过根域名镜像服务器中查询到相关信息的路径。
毕竟上面只是理论上的分析，现实情况会发生什么事情都未能可知。对此俄罗斯专门做了模拟实验，主动切断了国内与根域名服务器之间的联系，从而来推断紧急情况出现时会受到的影响。实验结果正如推断，国内网络并未受到较大的影响。
虽说影响不大，但是主动权毕竟没有掌握在自己手中，未来依然会存在受制于人的情况。13台根域名服务器指的是ipv6域名服务器，为了扭转这种局面，我国推出了“雪人计划”，主导了ipv6根域名服务器的搭建工作。相信ipv6普及之时，将会彻底扭转这种被动的局面。
根服务器主要作用于DNS服务，用于ⅰP地址的分配与管理。理论上网络瘫痪即DNS停止服务，ⅰP地址不能分配使用，且无法进行域名识别，指的就是所有根服务器停止工作；但凡有一台根服务器正常工作都不叫网络瘫痪，只能称其为故障，因为在拥堵的状态下，域名解析与ⅰP地址的分配管理不正常。
但实际上网络瘫痪与根服务器正常与否没有直接关系，只与用户的网络服务商有着直接的关系。每个网络服务商都有自已的DNS服务器，只要它正常，即使根服务器不正常也不影响该服务商的用户使用网络。从这个意义上来说根服务器状态如何与用户的使用没有直接关系。只是在根服务器故障期间，故障区域的DNS服务受限，无故障区域可正常使用。
这里就会涉及到一个网络概念:网络分互联网，城域网，局域网。上世纪九十年代初普及网络时用户可申报163互联网，或者169城域网。163的用户可全球联网，那时通称因特网；169的用户只能在所在城市联网，实际就是城域网，类似于后来的广电网。
局域网那就好理解了，学校的每个机房就是一个局域网，数个机房并在一起也是局域网(这和距离有关)，只要局域网的服务器可以联上互联网，局域网中的所有计算机在局域网服务器的允许下都可以上互联网。因此，在根服务器瘫痪后，每个用户不会受到直接影响；用户受到直接影响的只能是服务商的服务故障；即使根服务器真的瘫痪了，服务商也会让用户在不受限的区域中继续使用。
这就要说到国内互联网的组网模式了，国内互联网就是先把国内的各个企业政府用户都组建成一个网络，相当于一个大型的局域网。然后再留一个接口和其他地区的局域网进行相互连接，本质上说现在的网络都是局域网，只不过把这个局域网放大到各个国家，这就成了互联网。然后只要说你访问的是国内的网站，那你不用担心，哪怕他把跟服务器关了，你也不会受到其他影响。其实最主要的还是说从国内访问国外网络的数据安全。
然后只要说你访问的是国内的网站，那你不用担心，哪怕他把根服务器关了，你也不会受到其他影响。其实最主要的还是说从国内访问国外网络的数据安全。
中国己经有了自已的根服务器，有了自己的北斗定位，有了华为的五机，没有国际互联网，中国的网络不受影响，缺的是系统和心片，早在十几年前中国开始布局，推出雪人计划，就是要打造不受制于美国的互联网安全。
1、不会影响到你的网银安全；
2、无论你设置什么DNS，网络数据包上都可以看到你在使用什么网银，域名是什么都可以看到；
3、关于DNS安全性的问题，可以查查DNS-over->
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）