DDoS por amplificación de DNS: cómo funciona y cómo se mitiga

Qué es la amplificación DNS

En un ataque de reflexión, un atacante envía una consulta a un resolutor DNS abierto con la dirección de origen falsificada como la IP de la víctima. El resolutor, siguiendo correctamente el protocolo, envía su respuesta a esa dirección falsificada —la víctima— en lugar de al atacante.

Por qué el DNS en concreto

Una consulta pequeña —una consulta ANY, o una que desencadena una respuesta firmada con DNSSEC— puede producir una respuesta muchas veces mayor que la petición que la causó. Esa multiplicación significa que el ancho de banda propio del atacante se amplifica por ese factor a costa de la víctima, que es exactamente por qué el DNS, junto con NTP y memcached históricamente, es un vector de reflexión favorito.

El papel de los resolutores abiertos

Un resolutor abierto responde a consultas recursivas de cualquiera en internet, no solo de los clientes de su propia red. Un resolutor restringido a su propio espacio de direcciones no puede ser abusado como reflector de esta forma, ya que un tráfico falsificado que se hace pasar por una víctima cualquiera nunca le habría llegado desde fuera de todos modos.

Mitigaciones habituales

• Limitación de tasa de respuesta (RRL) en servidores autoritativos, que restringe respuestas idénticas repetidas enviadas hacia el mismo origen aparente
• Desactivar la recursión abierta en cualquier resolutor que no esté pensado específicamente para servir a internet público
• Filtrado de direcciones de origen BCP38 en el borde de la red, que impide que salgan de una red paquetes con origen falsificado — ataja la causa raíz en vez de un síntoma posterior

Cómo encaja PixDNS en esto

Las propias búsquedas de PixDNS consultan una lista blanca fija y pequeña de los principales resolutores públicos en nombre del usuario, en lugar de operar su propio resolutor recursivo abierto que cualquier tráfico de internet pudiera consultar o usar como reflector.

Consulta el DNS de un dominio