DNS Watcher 監(jiān)控手冊目錄DNS Watcher 監(jiān)控手冊 . ...............................................................

DNS Watcher 監(jiān)控手冊

目錄

DNS Watcher 監(jiān)控手冊 . .................................................................................................................. 1

一、 快速入門 . .......................................................................................................................... 2

二、主功能界面 . .............................................................................................................................. 3

1、功能按鈕 . ............................................................................................................................ 3

2、設置（Settings ） . ............................................................................................................... 4

3、首選項（Preferences ） ..................................................................................................... 5

三、 添加/編輯DNS Watcher域名 . ......................................................................................... 6

四、 攻擊偵測 . .......................................................................................................................... 7

1、網(wǎng)址嫁接攻擊（Pharming attack ） ................................................................................ 7

2、偵測網(wǎng)址嫁接攻擊 . ............................................................................................................ 7

五、 FQA . ................................................................................................................................... 8

1、監(jiān)控域名的四種運行狀態(tài) . ................................................................................................ 8

1.1、新建狀態(tài) . ................................................................................................................. 8

1.2、正在運行 . ................................................................................................................. 8

1.3、解析成功 . ................................................................................................................. 8

1.4、解析失敗 . ................................................................................................................. 8

2、域名監(jiān)控的開啟、禁止 . .................................................................................................... 9

2.1、開啟域名監(jiān)控 . ......................................................................................................... 9

2.2、禁止域名監(jiān)控 . ......................................................................................................... 9

3、域名解析異常的處理 . ........................................................................................................ 9

3.1、域名解析異常體現(xiàn) . ................................................................................................. 9

3.2、故障排查 . ................................................................................................................. 9

4、Query 工具的使用 . ........................................................................................................... 10

5、日志查看 . .......................................................................................................................... 11

1

目的：

DNS Watcher 是一個用于DNS 域名監(jiān)控和查詢的工具，用于查看DNS 域名是否能夠正確的解析響應。該工具，同時具備nslookup 和dig 通用工具的功能，并且提供了GUI 操作界面。

一、 快速入門

打開DNS Watcher窗口：

在該界面，添加期望監(jiān)控的域名實體。

1、點擊按鈕，添加一個域名實體

a) 、打開" add dns watcher entry"對話框

2

b) 、在"dns server address"框中，輸入服務名稱；通過"Default" ，可以選擇默認的服務器地址。

c) 、在"host name"框中，輸入需要被監(jiān)控的主機名稱。

d) 、選擇"OK" ，完成配置。

2、重復步驟1，添加任意的服務/域名實體。

3、點擊按鈕，運行主界面的所有域名列表。

二、主功能界面

1、功能按鈕

3

功能選項說明：

2、設置（Settings ）

配置選項說明：

4

3、首選項（Preferences ）

通過菜單"Setting:Preferences"，進入首選項界面：

選項說明：

5

三、 添加/編輯DNS Watcher域名

域名的添加、編輯是系統(tǒng)監(jiān)控的基礎，因此著重說明對應的編輯選項。

添加、編輯域名，都在如下界面完成：

在該界面，主要完成兩個關鍵信息的輸入：

● DNS Server Address. （DNS 服務器地址）

在DNS 服務器地址，輸入期望監(jiān)控的DNS 服務器的IP 地址，或者主機名稱。通常，輸入DNS 服務器的IP 地址。該地址，用于驗證解析是否正常。可以使用默認按鈕中的服務器地址，也即你的windows 機器上使用的服務器地址。

● Host Name. （主機名稱）

該主機名稱，是你期望項DNS 服務器提交進行解析的域名名稱。通常，是輸入類似公司網(wǎng)址信息。

關于allowable addresses（有效的IP 地址）選項

6

如果allowable addresses框為空，DNS Watcher會把任意有效的'A' 記錄作為解析成功，這樣可以確認DNS 服務器正常工作，并且對請求進行了響應，但是無法保障DNS 服務器返回的是正確的地址。

為了加強對DNS 服務器的監(jiān)控，你可以在allowable addresses 框中輸入對應域名的IP 地址。這樣可以保障DNS 服務器返回的是正確的IP 地址，同時，也可以確認是否被攻擊，或者配置錯誤。通常，在allowable address框輸入唯一的Ip 地址，除非對應的域名因為負載均衡需要多個IP 地址。

四、 攻擊偵測

1、網(wǎng)址嫁接攻擊（Pharming attack ）

"pharming attack" （網(wǎng)址嫁接攻擊）是針對web 網(wǎng)頁的新型攻擊，攻擊者通過劫持DNS 記錄，然后修改對應的信息，用自己的頁面替代你訪問的頁面。以下使用支付服務作為例子，對網(wǎng)址嫁接攻擊進行說明：

? a) 、攻擊者通過劫持獲取PayPal 的DNS 記錄

? b) 、攻擊者將www.paypal.com 對應的DNS 記錄，更改為攻擊者的IP ，該IP 服

務的網(wǎng)址與合法的www.paypal.com 非常相像。

? c) 、合法的PayPal 客戶被攻擊者引導到假冒的web 服務上。

? d) 、客戶輸入的賬號、密碼信息將被攻擊者獲取，攻擊者通過對應的賬號密

碼盜取客戶財務。

網(wǎng)址嫁接攻擊的危險性，在于客戶相信獲取到的web 網(wǎng)址是合法的官方網(wǎng)址。網(wǎng)址嫁接攻擊比釣魚攻擊（phishing attacks）更具隱蔽性，因為針對釣魚攻擊，知曉的用戶通知容易發(fā)現(xiàn)自己訪問的網(wǎng)址存在異常，但是，因為網(wǎng)址嫁接攻擊是在DNS 層面進行的，用戶沒有方法識別自己已經(jīng)訪問了錯誤的web 服務器。

2、偵測網(wǎng)址嫁接攻擊

DNS Watcher的"restrict the allowable addresses"選項，可以用于偵測網(wǎng)址嫁接攻擊：

7

在配置列表中，配置web 服務對應的合法Ip 地址列表。如果DNS 解析返回的地址不在配置的合法列表中，DNS Watcher將把該查詢視為錯誤標識出來。

如果攻擊者修改了DNS 記錄，那么修改后的IP 地址在DNS Watcher 的IP 列表中不存在，就能偵測到是被攻擊了。

為了能夠防御網(wǎng)址嫁接攻擊，通過DNS watcher 對DNS 服務器實施必要的監(jiān)控顯得非常重要，監(jiān)控的網(wǎng)絡服務不僅僅局限于自己公司的服務器。網(wǎng)址嫁接攻擊非常是非常詭辯的，例如緩存投毒（cache poisoning ），通過破壞中間DNS 記錄，而不一定是你公司的根服務記錄。理想的情況是，通過DNS watcher監(jiān)控關鍵的DNS 服務，可以包括流行的ISP 提供商，或者自己公司的異地服務。

五、 FQA

1、監(jiān)控域名的四種運行狀態(tài)

1.1、新建狀態(tài)

? 最右側(cè)為空白

? 正常解析次數(shù)<#Good> 、異常解析次數(shù)<#Bad>都顯示為空

1.2、正在運行

? 最右側(cè)為黃色標記

1.3、解析成功

? 最右側(cè)為綠色標記

? Last Result顯示為：Success Ip地址

? #Good記錄增加

1

1.4、解析失敗

? 最右側(cè)為紅色標記

? Last Result顯示為：Failure

? #Bad記錄增加

1

8

2、域名監(jiān)控的開啟、禁止

2.1、開啟域名監(jiān)控

? 通過Enable 按鈕，可以開啟域名監(jiān)控

? 在Enable 屬性中顯示為：

Enabled

2.2、禁止域名監(jiān)控

? 通過Disable 按鈕，可以禁止域名監(jiān)控

? 在Enable 屬性中顯示為：

Disabled

3、域名解析異常的處理

3.1、域名解析異常體現(xiàn)

? 最右側(cè)為紅色標記

? Last Result顯示為：Failure

? #Bad記錄增加

1

3.2、故障排查

? 確認監(jiān)控主機，所在網(wǎng)絡是否正常。如果網(wǎng)絡網(wǎng)絡中斷，將導致DNS 解析無法返回，解析失敗。

? 確認網(wǎng)絡丟包是否嚴重，導致解析超時。如果網(wǎng)絡丟包嚴重，將導致DNS 解析無法返回，解析失敗。

? 確認限制地址是否變更。如果解析返回的IP 與當前配置的域名IP 不一致，可能情況： a) 、對應的域名服務變更了IP 地址；

b) 、域名系統(tǒng)遭受了網(wǎng)址嫁接工具。

9

3.3、處理流程

a) 、在域名自動撥測失敗時，在確認網(wǎng)絡正常的情況下，請使用Query 工具，手工執(zhí)行該域名的撥測，確認是否能夠成功返回域名對應的A 記錄。如果能夠撥測成功，說明域名服務器無異常，如果多次查詢失敗，請聯(lián)系DNS 管理員。

b) 、如果發(fā)現(xiàn)DNS 遭受網(wǎng)址嫁接攻擊，請聯(lián)系DNS 管理員。

4、Query 工具的使用

通過按鈕，可以實現(xiàn)域名的手工撥測工作。

首先，在監(jiān)控列表中，選擇需要撥測的域名記錄：

展示撥測結(jié)果：

10