YD/T 2091-2010 标准解读

一、核心基础术语释义

• 公共域名解析系统：指面向公众提供域名到IP地址映射服务的分布式系统，包含递归解析器、权威域名服务器及配套缓存与转发机制，其功能是响应终端用户发起的域名查询请求并返回解析结果。
• 域名解析：指将人类可读的域名（如example.com）转换为机器可识别的IP地址（如192.0.2.1）的标准化过程，依据DNS协议完成查询、响应、缓存与错误处理全流程。
• 安全要求：指为保障公共域名解析系统在运行过程中不因人为攻击、配置错误或系统缺陷导致服务中断、数据篡改或信息泄露，所必须满足的最小技术与管理规范集合。
• 权威域名服务器：指对特定域名区域拥有最终解析权并能提供权威响应的DNS服务器，其数据来源于域名注册管理机构或授权配置，不得依赖缓存或转发。
• 递归解析器：指接收终端用户查询请求后，通过逐级查询权威服务器完成完整解析路径，并将最终结果返回给用户的中间服务节点，通常部署于运营商或云服务商网络中。

二、专项技术术语解析

1. 响应完整性：指递归解析器在返回解析结果时，所携带的DNS报文必须包含完整的资源记录集（RRSet），不得遗漏权威服务器返回的签名、TTL、RR类型等关键字段。
2. 查询源认证：指系统需对发起DNS查询的客户端IP地址进行有效性校验，禁止响应来自非授权网络段或伪造源地址的查询请求，以防范DNS放大攻击。
3. 缓存污染防护：指通过校验DNS响应报文中的事务ID、查询名、查询类型与响应内容的一致性，防止恶意构造的虚假响应被错误缓存并传播至后续用户。
4. 日志可追溯性：指系统须完整记录所有解析请求的源IP、目标域名、查询时间、响应码、响应时长及处理节点标识，日志保留周期不得少于90日，且不得被篡改或删除。
5. 密钥轮换周期：指用于DNSSEC签名的私钥必须在不超过12个月的周期内完成更换，新旧密钥需有至少30天的重叠生效期，确保解析链路平稳过渡。

三、易混淆术语区分

四、术语应用规范

• 在技术方案设计文档中，凡涉及系统架构描述，必须使用权威域名服务器与递归解析器标准称谓，禁止使用“DNS服务器”“解析服务”等模糊表述。
• 在安全评估报告中，关于防护能力的描述须引用响应完整性、缓存污染防护、查询源认证三项指标，不得以“防攻击”“防篡改”等笼统词汇替代。
• 在运维操作手册中，涉及密钥管理时，必须明确标注密钥轮换周期为12个月以内，且需附带密钥生成、分发、启用、归档的完整流程记录。
• 在日志审计与合规核验中，日志可追溯性的满足情况应以原始日志文件的完整性哈希值、时间戳签名及存储介质访问日志为判定依据，不得仅依赖系统自报信息。
• 在合同与采购技术规范中，禁止使用“支持DNS安全”“具备防DDoS能力”等非标准表述，必须明确引用本标准中定义的术语及其对应技术要求编号。