- 缓存投毒防护
- 背景与原理：缓存投毒是一种针对域名系统（DNS）的恶意攻击方式。攻击者试图将虚假的 DNS 记录注入到 DNS 缓存服务器中。正常情况下，DNS 缓存服务器会存储域名和 IP 地址的映射关系，以加快后续查询速度。但在缓存投毒攻击中，攻击者通过欺骗 DNS 服务器，让其缓存错误的域名 – IP 映射。
- WAF 的防护机制：WAF 能够对 DNS 缓存服务器的更新请求进行严格审查。它会验证请求来源的合法性，检查更新的 DNS 记录是否符合预期的域名所有者的授权。例如，WAF 可以通过检查数字签名或者与域名注册机构的认证信息进行比对，确保只有真正的域名所有者或者授权的 DNS 服务器才能更新缓存中的记录。同时，WAF 还可以监测缓存服务器的更新频率和模式，对于异常频繁或者不符合正常模式的更新请求进行拦截，从而防止缓存被恶意投毒。
- 域名劫持防护
- 背景与原理：域名劫持是指攻击者通过各种手段控制域名的解析过程，将用户原本要访问的合法网站域名解析到恶意服务器的 IP 地址。这可能是通过篡改域名注册信息、攻击域名服务器或者利用网络路由漏洞等方式实现的。
- WAF 的防护机制：WAF 可以实时监测域名解析的流向。它会建立域名解析的正常路径模型，当发现域名解析请求被重定向到非预期的路径或者 IP 地址时，会立即触发警报并拦截该请求。例如，WAF 会检查域名解析请求的响应路径是否与域名注册商提供的官方解析路径一致，同时也会比对解析后的 IP 地址是否在网站运营者预先设定的合法 IP 地址范围内。此外，WAF 还可以与域名注册机构和权威 DNS 服务器进行通信，及时获取域名状态的更新信息，以确保域名解析的准确性和安全性。
- 解析完整性保护
- 背景与原理：在 DNS 解析过程中，DNS 消息可能会在传输过程中被篡改。攻击者可能会修改域名对应的 IP 地址、域名的生存时间（TTL）或者其他关键参数，从而影响网站的正常访问或者进行其他恶意活动。
- WAF 的防护机制：WAF 可以对 DNS 解析消息进行完整性验证。它采用数字签名和消息认证码（MAC）等技术，在 DNS 消息发送端和接收端分别进行签名和验证操作。当接收端收到 DNS 消息时，WAF 会检查消息的签名是否与发送端一致，并且验证消息内容是否被篡改。对于不符合完整性验证标准的 DNS 消息，WAF 会拒绝接收，从而确保域名解析的各个参数准确无误，保障解析过程的完整性。
- 防止恶意子域名滥用
- 背景与原理：攻击者可能会注册并滥用网站的子域名，用于恶意目的，如传播恶意软件、进行钓鱼攻击等。在影视娱乐网站中，子域名可能用于区分不同的内容区域或者服务类型，如 “movie.example.com” 用于电影专区，“tvshow.example.com” 用于电视剧专区等。
- WAF 的防护机制：WAF 会对所有子域名的请求进行审查。它会检查子域名的注册和使用是否符合网站运营者的规定和意图。例如，WAF 可以检查子域名是否在网站运营者预先注册的范围内，并且对其指向的服务器 IP 地址和提供的服务内容进行评估。对于未授权或者可疑的子域名，WAF 会采取限制访问或者提醒网站运营者进一步调查的措施，防止恶意子域名被滥用。