幫忙分析一下，dns

luzengqiu

問題如下：
      近期發(fā)現(xiàn)單位的dns服務器不停發(fā)送大量的arp請求，抓包檢查后發(fā)現(xiàn)請求地址均是與dns同一網(wǎng)段的沒有使用的ip地址。
      在dns上抓包后發(fā)現(xiàn)，有大量同一網(wǎng)段的沒有使用的ip地址請求對某幾個網(wǎng)址的解析，dns響應后，要返回信息，就會向所在網(wǎng)段發(fā)送廣播包即arp請求包。
      開始懷疑是木馬或病毒，將所在網(wǎng)段的所有服務器進行了排查，沒有發(fā)現(xiàn)問題。
      然后進行斷網(wǎng)排查，發(fā)現(xiàn)只要將教育網(wǎng)出口斷掉，就正常了。
      現(xiàn)在一直沒有找到原因。
      懷疑是外網(wǎng)的攻擊，但是一直找不到發(fā)動者的地址。

各位大俠，有遇到過這種情況的沒有，幫忙解決一下。不勝感激。

llzqq

用DNSTOP觀察一下有助于發(fā)現(xiàn)異常情況。從LZ描述的現(xiàn)象初步判斷有來自教育網(wǎng)的網(wǎng)絡攻擊

luzengqiu

我也是這樣認為的，但是查不到源地址。

ruochen

這個需要很多耐心的

luzengqiu

找不到，我也不找了，只好在路由上將所有源地址地址為內網(wǎng)的地址全部禁止in，暫時沒事了。