1. 极安网首页
  2. 网络安全技术

利用安全DNS过滤恶意域名

一、产品简介

OPENDNS

全球领先的DNS服务提供商之一,提供免费的DNS解析,目前隶属于思科。支持设备:笔记本电脑,智能手机,平板电脑,DVR,游戏机,电视等。功能:提供快速、可靠的DNS服务。免费版可以阻止成人网站等,付费版内置检测可以针对网络钓鱼及网络恶意域名,可以将Internet访问设置为特定的白名单,自定义内容过滤,同时可以保留过去一年的互联网访问情况。

涉及服务器:208.67.222.222(实验选用,免费版),208.67.220.220,208.67.222.220,208.67.220.222。

网址:https://www.opendns.com/home-internet-security/

Yandex.DNS

是一个免费的递归DNS服务,服务器位于俄罗斯及西欧等地,用户请求由最近的数据中心处理,其具备三种模式。在“Basic”模式下,没有流量过滤;在“Safe”模式下,可以保护用户远离感染及欺诈网站;“Family”模式可保护用户免受危险网站侵害并阻止包含成人内容的站点。“Famliy”模式功能最为齐全,包括保护用户免受感染网站侵害(每天检查数千万网页寻找病毒,发现可疑活动标记为危险并添加到病毒库中),阻止欺诈网站(阻止方式:用户尝试访问时返回警告页面),防止僵尸程序(阻止已知C&C服务器的IP查询),封锁成人网站(检测页面上的色情内容),阻止成人广告(禁止主机收到正确IP)。

涉及服务器:77.88.8.7(实验选用,“Famliy”版),77.88.8.88,77.88.8.8

网址:https://dns.yandex.com/advanced/

IBM Quad 9

Quad9提供公共DNS解析服务,并可阻止对受恶意软件感染的网站的访问。其包含来自18个以上领先供应商的恶意网址组合池,作为非盈利不会捕获个人信息进行盈利等行为。在全球各地都有服务器,提供低延迟解析。采用Non-blocking技术,积极阻止用户访问已知的恶意域,包括网络钓鱼、勒索软件及其他使用DNS的恶意活动。如果站点被阻止,用户将收到“NXDOMAIN”响应,使其感觉为该域不存在。

涉及服务器:9.9.9.9

网址:https://www.quad9.net/

Neustar UltraDNS

Neustar UltraDNS是一项基于云的企业级权威DNS服务。功能:内置安全功能如DDoS防护、DNSSEC管理Nameserver分段;利用高级流量管理服务来优化DNS性能;可以通过Web门户制定管理策略。Neustar UltraDNS 防火墙功能:实现DNS解析;在恶意软件到达最终用户之前消除不良流量;防止内部用户访问有害或不需要的内容;Internet访问控制。

涉及服务器:156.154.71.2(实验选用),156.154.70.2

网址:https://www.home.neustar/dns-services

SafeDNS

SafeDNS是一家成立于2010年的公司,位于美国弗吉尼亚州。它为不同类型的市场和客户提供了基于云的Web过滤和网络安全解决方案。例如,SafeDNS解决方案,防止僵尸网络,勒索软件,网络钓鱼和其他网络安全威胁的攻击。可以将DNS查询从公司/家庭网络重定向到SafeDNS过滤服务器,设置过滤规则。功能:保护内部网络、Wifi热点,避免网络钓鱼及数据盗窃(基于DNS过滤,90%以上的恶意软件都需要使用DNS);基于类别过滤,可以设置要允许及阻止的内容类型;可以自定义白名单及黑名单。

涉及服务器:195.46.39.39(实验选用),195.46.39.40

网址:https://www.safedns.com/web-filtering-for-corporate-users/

SafeSurfer

帮助构建安全互联网,保护家庭免受有害内容的侵害。功能:可以对设备进行管理,按类筛选内容;阻止色情和其他不当内容,例如广告、博彩或受恶意软件侵害的网站;可以对流行社交媒体平台如Facebook等进行屏蔽。

涉及服务器:104.155.237.225(实验选用),104.197.28.121

网址:https://www.safesurfer.co.nz/

二、实验测试

对6种声称可以进行DNS过滤的产品进行了实验,以常用服务器(8.8.8.8)为参照(返回正常IP,一般不设对DNS的阻止),将本地DNS配置为产品对应DNS产品的IP地址,通过浏览器访问、wireshark抓包、命令行ping方式进行实验,通过观察对比,给出了实验结果。可以发现,部分产品对DNS恶意域名的阻止效果较好,部分产品几乎无效果。

以谷歌DNS服务器及安全DNS服务器SafeSurfer为例,对实验进行说明,其余类似不做赘述。

谷歌DNS服务器访问恶意域名情况

l  使用APT34的恶意软件Helminth涉及的恶意域名进行测试

005aa003P3T647071636F6E626C316E385C61646D696E7369747261746F.go0gIe.com

利用安全DNS过滤恶意域名-极安网

利用安全DNS过滤恶意域名-极安网

正常返回IP:23.80.188.7。

使用恶意软件BONDUPDATER进行测试

2920004cd4bmaf2dc38t.withyourface.com

利用安全DNS过滤恶意域名-极安网

正常返回IP:208.91.197.46。

使用恶意软件Pisloader进行测试

ykqhhnocaoinkfoqq.ns1.logitech-usa.com

利用安全DNS过滤恶意域名-极安网

利用安全DNS过滤恶意域名-极安网

正常返回IP:58.158.117.102。

SafeSurfer(104.155.237.225)服务器访问恶意域名情况

使用APT34的恶意软件Helminth涉及的恶意域名进行测试

利用安全DNS过滤恶意域名-极安网

利用安全DNS过滤恶意域名-极安网

利用安全DNS过滤恶意域名-极安网

使用恶意软件Pisloader进行测试

利用安全DNS过滤恶意域名-极安网

利用安全DNS过滤恶意域名-极安网

使用恶意软件BONDUPDATER进行测试

利用安全DNS过滤恶意域名-极安网

利用安全DNS过滤恶意域名-极安网

基于谷歌服务器的访问情况对照,发现该产品的阻止效果较好,其会将恶意DNS请求引向预先创建的CNAME server:block.safesurfer.io,返回IP34.67.0.134,弹出阻止页面。同时,我们对其余5个产品也进行了类似的实验。以下为实验对比表格:

利用安全DNS过滤恶意域名-极安网

三、总结

通过实验对比可以发现,目前的安全DNS所使用的阻止方法可以归纳为2种,劫持回复固定IP(如OpenDNS Home、Neustar Free Recuive DNS)或引向产品方创建的CNAME server进而返回阻止页面(如SafeSurfer)、回复DNS请求以无法找到主机(NXDOMAIN)的形式(如IBM Quad9)。6种产品对恶意域名的阻止效果有所不同,其中,IBM Quad9及SafeSurfer表现较好,SafeDNS及Yandex.DNS表现较差。如果想要使上网更为安全的话,仅需将DNS配置为前两种产品的服务器地址即可使用,保障联网安全。但值得注意的是,第三方服务提供商可以访问DNS解析记录,如果在隐私要求不高的情况下,免费安全DNS会是很好的选择。

免责声明:本文作者竭力保证文章内容可靠,但对于任何错误、疏漏或不准确的内容,作者不负任何责任。文章部分内容来源于网络是出于传递更多信息的目的,对此不负任何法律责任。本文仅用于技术分享与讨论,严禁用于其他用途。

原创文章,作者: Admin ,转载请注明出处:https://www.secvery.com/4818.html