DNS-amplificatie-DDoS: hoe het werkt en hoe je het beperkt

Wat DNS-amplificatie is

Bij een reflectieaanval stuurt een aanvaller een query naar een open DNS-resolver met het bronadres vervalst naar het IP van het slachtoffer. De resolver, die het protocol correct volgt, stuurt zijn antwoord naar dat vervalste adres — het slachtoffer — in plaats van naar de aanvaller.

Waarom juist DNS

Een kleine query — een ANY-query, of een die een DNSSEC-ondertekend antwoord veroorzaakt — kan een antwoord opleveren dat vele malen groter is dan het verzoek dat het veroorzaakte. Die vermenigvuldiging betekent dat de eigen bandbreedte van de aanvaller met die factor wordt versterkt ten koste van het slachtoffer, precies waarom DNS, naast historisch NTP en memcached, een favoriete reflectievector is.

De rol van open resolvers

Een open resolver beantwoordt recursieve query's van iedereen op internet, niet alleen van clients in zijn eigen netwerk. Een resolver die beperkt is tot zijn eigen adresruimte kan op deze manier niet als reflector worden misbruikt, omdat vervalst verkeer dat zich voordoet als een willekeurig slachtoffer hem hoe dan ook nooit van buitenaf zou hebben bereikt.

Standaard tegenmaatregelen

• Response Rate Limiting (RRL) op gezaghebbende servers, wat herhaalde identieke antwoorden naar dezelfde schijnbare bron afremt
• Open recursie uitschakelen op elke resolver die niet specifiek bedoeld is om het publieke internet te bedienen
• BCP38-bronadresfiltering aan de netwerkrand, wat pakketten met vervalste bron er helemaal van weerhoudt een netwerk te verlaten — dit pakt de grondoorzaak aan in plaats van een symptoom verderop

Hoe PixDNS hierin past

PixDNS's eigen opzoekingen bevragen namens de gebruiker een vaste, kleine whitelist van grote publieke resolvers, in plaats van een eigen open recursieve resolver te draaien die willekeurig internetverkeer zou kunnen bevragen of als reflector misbruiken.

Zoek de DNS van een domein op