DNS-Amplification-DDoS: Wie es funktioniert und wie man sich schützt

Was DNS-Amplification ist

Bei einem Reflection-Angriff sendet ein Angreifer eine Anfrage an einen offenen DNS-Resolver, wobei die Quelladresse auf die IP des Opfers gefälscht ist. Der Resolver, der dem Protokoll korrekt folgt, sendet seine Antwort an diese gefälschte Adresse — das Opfer — statt an den Angreifer.

Warum ausgerechnet DNS

Eine kleine Anfrage — eine ANY-Anfrage oder eine, die eine DNSSEC-signierte Antwort auslöst — kann eine Antwort erzeugen, die um ein Vielfaches größer ist als die Anfrage, die sie verursacht hat. Diese Vervielfachung bedeutet, dass die eigene Bandbreite des Angreifers um diesen Faktor auf Kosten des Opfers verstärkt wird — genau deshalb ist DNS, neben historisch NTP und memcached, ein beliebter Reflection-Vektor.

Die Rolle offener Resolver

Ein offener Resolver beantwortet rekursive Anfragen von jedem im Internet, nicht nur von Clients im eigenen Netzwerk. Ein auf seinen eigenen Adressraum beschränkter Resolver kann auf diese Weise nicht als Reflektor missbraucht werden, da gefälschter Verkehr, der ein beliebiges Opfer vortäuscht, ihn von außen ohnehin nie erreicht hätte.

Übliche Gegenmaßnahmen

• Response Rate Limiting (RRL) auf autoritativen Servern, das wiederholte identische Antworten an dieselbe scheinbare Quelle drosselt
• Offene Rekursion auf jedem Resolver deaktivieren, der nicht ausdrücklich das öffentliche Internet bedienen soll
• BCP38-Quelladressfilterung am Netzwerkrand, die gefälschte Quellpakete von vornherein am Verlassen eines Netzwerks hindert — behebt die Ursache statt eines nachgelagerten Symptoms

Wie PixDNS dazu passt

Die eigenen Abfragen von PixDNS fragen im Auftrag der Nutzer eine feste, kleine Whitelist großer öffentlicher Resolver ab — es betreibt keinen eigenen offenen rekursiven Resolver, den beliebiger Internetverkehr abfragen oder als Reflektor missbrauchen könnte.

DNS einer Domain nachschlagen