DDoS par amplification DNS : comment ça marche et comment s'en protéger
L'amplification DNS n'attaque pas le DNS lui-même — elle utilise le DNS comme un mégaphone inconscient, pointé vers qui l'attaquant choisit.
Ce qu'est l'amplification DNS
Dans une attaque par réflexion, un attaquant envoie une requête à un résolveur DNS ouvert avec l'adresse source falsifiée pour correspondre à l'IP de la victime. Le résolveur, suivant correctement le protocole, envoie sa réponse à cette adresse falsifiée — la victime — plutôt qu'à l'attaquant.
Pourquoi le DNS en particulier
Une petite requête — une requête ANY, ou une qui déclenche une réponse signée DNSSEC — peut produire une réponse plusieurs fois plus grande que la demande qui l'a provoquée. Cette multiplication signifie que la bande passante propre de l'attaquant est amplifiée par ce facteur aux dépens de la victime, ce qui explique exactement pourquoi le DNS, aux côtés historiquement de NTP et memcached, est un vecteur de réflexion privilégié.
Le rôle des résolveurs ouverts
Un résolveur ouvert répond aux requêtes récursives de n'importe qui sur internet, pas seulement des clients de son propre réseau. Un résolveur restreint à son propre espace d'adresses ne peut pas être détourné comme réflecteur de cette façon, puisqu'un trafic falsifié prétendant être une victime arbitraire ne l'aurait de toute façon jamais atteint depuis l'extérieur.
Mesures d'atténuation habituelles
- La limitation du taux de réponse (RRL) sur les serveurs faisant autorité, qui limite les réponses identiques répétées envoyées vers la même source apparente
- Désactiver la récursion ouverte sur tout résolveur qui n'est pas spécifiquement destiné à servir l'internet public
- Le filtrage d'adresse source BCP38 en bordure de réseau, qui empêche les paquets à source falsifiée de quitter un réseau — s'attaquant à la cause racine plutôt qu'à un symptôme en aval
Où se situe PixDNS
Les propres recherches de PixDNS interrogent une liste blanche fixe et restreinte des principaux résolveurs publics pour le compte de l'utilisateur, plutôt que d'exploiter son propre résolveur récursif ouvert que n'importe quel trafic internet pourrait interroger ou détourner comme réflecteur.
Consulter le DNS d'un domaine
Voyez la théorie en pratique — lancez Recherche DNS pour votre propre domaine.