艾銻知識 |如何從運營角度保障DNS安全

2020-03-09 14:39 作者：admin 瀏覽量：

 
在很久很久以前，有三個和尚的名字叫阿健、阿財、阿智。他們正在旅行的路途中，邊走邊談著貓的胡須、太陽的顏色和一個人怎么才能得到快樂。

這樣，他們就來到了一個村子里。這是一個歷經了很多苦難的村子，很多的苦難，洪水、戰爭、瘟疫……村民們疲憊不堪了，對這個世界再也沒有信心，對生活再也沒有熱情，別說不和陌生人交往，鄰居之間也彼此猜忌，沒有信任。

村子里有農民，有茶商，有讀書人，有女裁縫，有醫生，有木匠……他們當然也都工作，但是都只是為自己的，所以不快樂。

沒有人理睬走進村子的和尚們，沒有人歡迎阿健、阿財、阿智，家家的窗戶都關得緊緊的。他們敲誰家的門，那么誰家干脆就關了燈，假裝家里根本就沒有人，假裝睡覺了。

“這些人不懂得什么是快樂。”三個和尚異口同聲地說。大和尚阿健說:“可是今天，我要讓他們見識一下怎么煮石頭湯。”他們撿了小樹枝生起火，把小湯鍋架在火上，在鍋里裝滿從井中打來的水。

一個小姑娘看見了，她問:“你們要干什么呀？”

“我們要煮石頭湯，還得要找三個又圓又滑的大石頭。”阿智說。

小姑娘幫和尚們在院子里找到了他們所要的石頭，他們把石頭放在鍋子里煮。

“這幾塊石頭，可以煮出好喝的湯，”阿智說，“但是，我擔心鍋子太小，煮的湯不夠喝。”

“我媽有個大鍋子。”小姑娘說。小姑娘就跑去對媽媽說了這事，她媽媽竟然就答應了，而且她媽媽還說:“我倒想要學學怎么煮石頭湯！”

原來，哪怕是在一個已經沒有熱情的“村子”里，也是有這樣的小姑娘的；雖然同樣是對生活沒有了信心，但能心那股扔情的小火苗依然在跳動著。

小姑娘把大鍋推到了村子的中央，和尚們點燃的柴火青煙飄散開來，他們翻動著鍋中的石頭……躲在窗子后面沒有信心和熱情的人們終于打開房門走出了屋子，他們都要看一看，這石頭湯是什么！

這石頭湯是什么呢？

在攪動著石頭湯的阿健說，如果加上了鹽和胡椒粉，石頭湯才好喝呢！

一個眼睛睜得大大看得津津有味的讀書人立即說:“我家里有！”趕緊就跑回去取了，石頭湯里加進了鹽和胡椒粉。

阿智嘗了嘗味道，說:“照我們的經驗，這么大鍋的石頭湯，如果加上一些胡蘿卜，那么湯會更甜。”

“胡蘿卜？我家里有！”人群中的一個婦人說，趕忙地跑回家里拿了來，丟進了湯里。

“要是放些洋蔥，味道是不是會更好？”阿財問。

一個農人跑回家取來了洋蔥。

“再加些蘑菇呢？”

蘑菇也被取了來。而且還紛紛順便地帶來了面條、豌豆和包心菜。

當每個人打開心胸付出時，其他人付出得更多。就這樣，湯鍋里的東西越來越多，餃子，豆腐，云耳，綠豆，芋頭，冬瓜，大蒜，百合，甚至人們還大喊著應該加一點兒醬油！和尚們攪和著咕嘟咕嘟的湯鍋，心里感觸地想著，多么香啊，多么美味啊，村里的人多么懂得付出啊！

湯煮好了。村子里的人聚集在一塊兒。他們帶來了白米飯、饅頭；他們提來了茶水和燈籠。在記憶里，他們從來沒有像現在這樣聚在一起享用過大餐。

盛宴過后，他們說故事，唱歌，一直到深夜。他們不再鎖上門，而是紛紛熱情地邀請和尚們到家里去住，讓他們睡得非常舒服。

一個溫暖春天的早晨，大家依依不舍地送別阿健阿財和阿智。“謝謝你們讓我們來做客，你們是最大方的人。”和尚們說。

“應該謝謝你們，是你們讓我們懂得了分享，有了永遠的富足。”村民們說。

“還要想一想，”和尚們說:“快樂就像煮石頭湯一樣容易啊！”

正因為快樂是這樣的容易，離得那么近，所以又有什么災難和不幸能夠真的讓人變得灰心喪氣，再也沒有興奮的精神呢？
 
 
 
 
  創業就是煮一場石頭湯，你有了個想法，也許這個想法很一般，也許這個想法很特別，總有人愿意為那些新奇的想法邁出一步，這也是極其重要的一步，因為這一步給到做湯的人信心和勇氣，他就更堅定相信能做出一鍋香濃美味的湯，當有越來越多的人加入這家企業時，有的人帶來的是才華，有的人帶來的是金錢，有的人帶來的是資源，還有的人帶來的是更多的可能性，就是這樣，在更多人的信任和選擇下，讓這家企業變得更有味道，變得更有價值，變得可以成就更多人的夢想。
 
人生就是煮一鍋石頭湯，你出生的時候一無所有，但這不重要，因為你會慢慢長大，就能學會了講故事，你和小朋友講故事，就讓很多小朋友成為了你的朋友，后來你又和女孩講故事，于是女孩就成為了你的女朋友，再后來你和遇到的每一個人講故事，于是你就有了工作，有的朋友，有了家庭，有了生活，有了事業，有了你現在的一切，無論這個故事是什么，請記住快樂最重要。
你又是如何煮自己人生的石頭湯？
 
艾銻知識 |如何從運營角度保障DNS安全
眾所周知，DNS作為一項互聯網基礎業務，對整個互聯網的正常運行起著至關重要的作用。當然，別有用心的攻擊者也同樣明白這個道理，總是希望通過各種各樣的攻擊手段破壞DNS解析服務的正常開展。
如何從不同層面綜合運營，保證DNS服務安全高效的運行，一直以來都是DNSPod每一位工程師不斷思索的問題。我們認為，主要從應該從以下幾個方面入手：
狀態監控
DNS服務是一項實時性要求非常高的服務，準確全面的監控系統是整個DNS服務的運營基礎。為此，我們設計了一整套的監控體系，包括網絡流量監控、服務器內核監控模塊、解析監控、服務器集群監控等等。從不同層面不同角度對DNS解析服務進行監控，保證工程師能第一時間了解其運行狀態。在技術選型方面，我們一方面采用比較成熟的基于SNMP的nagios/cacti監控，一方面針對DNS的特點開發與解析服務緊密結合的監控模塊，滿足不同監控對象的需要。
信息告警
DNS服務運行過程中總會有各種各樣的情況發生，同一個事件需要通知到不同的負責人，每個人需要知道的信息也不盡相同。例如在捕獲到域名攻擊事件后，會馬上向運維工程師發出告警，提示各種層面的流量數據。向技術支持人員發送攻擊情況概要和受影響的程度，以便用戶詢問情況時能得到最新信息。針對VIP客戶，還會向相關的銷售人員發送攻擊相關數據和處理情況，由銷售人員直接與客戶取得聯系。特別重大的攻擊事件，還會向市場人員、開發人員、技術負責人甚至總經理發送，保證信息及時傳遞，事件能夠及時處理。為了滿足多樣化的信息發送需求，我們建立了專門的通知系統平臺，提供了一致的API接口供各個程序調用，能夠提供郵件、微信、短信、語音等多種通知方式。
事件處理
為了及時響應并處理各種事件，為用戶提供持續的優質服務，我們實行24小時值班制度。任何時間都會有經驗豐富的技術人員準備應對突發情況。同時，為了進一步加強響應效率，自動化運維處理必不可少。例如，我們對DNS攻擊做了長期的研究，開發了域名封禁/解封、防護算法、流量引導等多種防護手段，根據DNS攻擊的實際情況自動開啟，能在短時間內化解大流量的DNS攻擊，將影響減到最小。
數據記錄
當然，事件處理完成并不代表著結束，還需要做好各種記錄，保證可以回顧分析。基本的數據包括交換機流量數據、網卡抓包數據、事件處理記錄等等，我們對這些數據都做了完整的記錄、備份、整理、歸檔，這樣不但任何問題都有據可查，也為進一步的統計分析做好了準備。因為數據量大、種類多，我們比較多的使用了Redis和MongoDB，其存NoSQL的特點特別適用于這個情況。
綜合運營數據分析
除了短時間的針對單個事件的應對策略，運營更需要長期的數據記錄與分析。我們每天的運營情況都會以報表的形式呈現出來，對域名解析量、用戶數量、攻擊情況等數據更有長時間的追蹤和趨勢分析。如根據攻擊趨勢的分析加強防攻擊投入，根據用戶轉入/轉出情況聯系銷售人員跟進。這里我們使用了Graphite用于繪圖，D3.js在繪制報表方面也有很好的表現。
總的來說，DNS服務有其復雜性和特殊性，DNSPod長期專注于DNS解析業務，在此領域有豐富的經驗和深厚的積累，希望上述分享能給每一位關心DNS領域的朋友帶來益處，共同創造更美好的互聯網環境。