DNS作为Internet的一项核心服务,由于其自身的重要性和协议的漏洞非常容易受到DDoS攻击。DNS遭受DDoS攻击会造成DNS服务区域的域名无法解析,进而造成用户无法正常上网。本文围绕面向递归DNS的DDoS攻击检测和评估算法进行研究。攻击检测算法有助于提早发现DDoS攻击,及时采取措施,避免因为服务器遭受攻击给用户造成影响;评估算法能在检测出DDoS攻击时评估递归DNS抗DDoS攻击性能,进而有助于及时作出有效的补助措施。本文主要研究以下内容:(1)针对目前没有现成可用的攻击工具问题,本文研究面向递归DNS的DDoS攻击工具生成。用该工具生成基于DNS协议的面向递归DNS的DDoS查询攻击和反射放大攻击。实现该工具,首先分析两种攻击方式的原理,得到DDoS攻击在IP伪造、域名随机性等5方面的特点;根据这些特点设计实现攻击频率、放大系数等特征不同的DDoS攻击。通过测试表明本文较好地复现了两种类型的攻击。(2)针对当前DNS DDoS攻击检测中存在的检测特征少导致漏判误判,检测类型单一等问题,本文研究基于逻辑回归的面向递归DNS DDoS攻击检测算法。根据DDoS攻击的特点,分析被攻击时递归DNS上发生变化的流量特征,得到了如用户TTL方差、请求响应比等14个流量特征;采用逻辑回归算法进行算法训练及优化得到检测算法。通过测试发现,算法能够检测出递归DNS是否遭受攻击,对遭受的攻击类型的分类正确率达到80%以上。(3)针对目前缺少面向递归DNS的抗DDoS攻击性能相关研究,本文研究基于多项式回归的递归DNS抗DDoS攻击性能评估算法。首先对抗DDoS攻击性能进行描述,确定评估的目标;然后进行特征分析,确定影响递归DNS抗DDoS攻击性能的8个特征,如缓存大小、控制权限等;利用DDoS攻击工具对递归DNS发起不同程度的DDoS攻击,得到递归DNS能够承受的DDoS攻击的情况;利用多项式回归算法进行训练得到评估算法。经过测试,将算法的预测数据与真实数据绘制曲线,两者的轨迹和趋势都较为吻合,拟合程度在0.8以上。