DDoS da amplificazione DNS: come funziona e come si mitiga

Cos'è l'amplificazione DNS

In un attacco di riflessione, un attaccante invia una query a un resolver DNS aperto con l'indirizzo sorgente falsificato come l'IP della vittima. Il resolver, seguendo correttamente il protocollo, invia la sua risposta a quell'indirizzo falsificato — la vittima — invece che all'attaccante.

Perché proprio il DNS

Una piccola query — una query ANY, o una che innesca una risposta firmata DNSSEC — può produrre una risposta molte volte più grande della richiesta che l'ha causata. Questa moltiplicazione significa che la banda dell'attaccante viene amplificata di quel fattore a spese della vittima, motivo esatto per cui il DNS, insieme storicamente a NTP e memcached, è un vettore di riflessione prediletto.

Il ruolo dei resolver aperti

Un resolver aperto risponde a query ricorsive da chiunque su internet, non solo dai client della propria rete. Un resolver limitato al proprio spazio di indirizzi non può essere sfruttato come riflettore in questo modo, poiché traffico falsificato che finge di essere una vittima qualsiasi non lo avrebbe comunque mai raggiunto dall'esterno.

Mitigazioni standard

• Response Rate Limiting (RRL) sui server autoritativi, che limita risposte identiche ripetute inviate verso la stessa sorgente apparente
• Disabilitare la ricorsione aperta su ogni resolver non specificamente destinato a servire internet pubblico
• Filtraggio dell'indirizzo sorgente BCP38 al bordo della rete, che impedisce del tutto ai pacchetti con sorgente falsificata di uscire da una rete — affrontando la causa radice invece di un sintomo a valle

Come si colloca PixDNS

Le ricerche di PixDNS interrogano per conto dell'utente una whitelist fissa e ridotta dei principali resolver pubblici, invece di gestire un proprio resolver ricorsivo aperto che un traffico internet qualsiasi potrebbe interrogare o sfruttare come riflettore.

Cerca il DNS di un dominio