DDoS przez wzmocnienie DNS: jak działa i jak się przed nim bronić

Czym jest wzmocnienie DNS

W ataku odbiciowym atakujący wysyła zapytanie do otwartego resolvera DNS z adresem źródłowym sfałszowanym na adres IP ofiary. Resolver, postępując poprawnie zgodnie z protokołem, wysyła swoją odpowiedź na ten sfałszowany adres — ofiary — zamiast do atakującego.

Dlaczego akurat DNS

Małe zapytanie — zapytanie ANY albo takie, które wywołuje odpowiedź podpisaną DNSSEC — może wygenerować odpowiedź wielokrotnie większą niż żądanie, które ją spowodowało. To pomnożenie oznacza, że własne pasmo atakującego jest wzmacniane o ten czynnik kosztem ofiary, dlatego właśnie DNS, obok historycznie NTP i memcached, jest ulubionym wektorem odbiciowym.

Rola otwartych resolverów

Otwarty resolver odpowiada na zapytania rekurencyjne od każdego w internecie, nie tylko od klientów własnej sieci. Resolver ograniczony do własnej przestrzeni adresowej nie może być w ten sposób nadużyty jako reflektor, bo sfałszowany ruch podający się za dowolną ofiarę i tak nigdy by do niego nie dotarł z zewnątrz.

Standardowe metody obrony

• Response Rate Limiting (RRL) na serwerach autorytatywnych, ograniczający powtarzające się identyczne odpowiedzi wysyłane do tego samego pozornego źródła
• Wyłączenie otwartej rekurencji na każdym resolverze, który nie ma z założenia obsługiwać publicznego internetu
• Filtrowanie adresów źródłowych BCP38 na brzegu sieci, które w ogóle nie pozwala pakietom ze sfałszowanym źródłem opuścić sieci — usuwa to przyczynę, a nie tylko objaw

Jak wpisuje się w to PixDNS

Własne wyszukiwania PixDNS odpytują stałą, niewielką białą listę głównych publicznych resolverów w imieniu użytkownika, zamiast prowadzić własny otwarty resolver rekurencyjny, który mógłby być odpytywany lub nadużywany przez dowolny ruch z internetu.

Sprawdź DNS domeny