DDoS por amplificação de DNS: como funciona e como se mitiga

O que é a amplificação de DNS

Num ataque de reflexão, um atacante envia uma consulta a um resolvedor DNS aberto com o endereço de origem falsificado para o IP da vítima. O resolvedor, seguindo corretamente o protocolo, envia a sua resposta para esse endereço falsificado — a vítima — em vez de para o atacante.

Por que o DNS em particular

Uma pequena consulta — uma consulta ANY, ou uma que desencadeie uma resposta assinada com DNSSEC — pode produzir uma resposta muitas vezes maior do que o pedido que a causou. Essa multiplicação significa que a largura de banda do próprio atacante é amplificada por esse fator à custa da vítima, exatamente por isso o DNS, a par historicamente do NTP e do memcached, é um vetor de reflexão preferido.

O papel dos resolvedores abertos

Um resolvedor aberto responde a consultas recursivas de qualquer pessoa na internet, não apenas de clientes da sua própria rede. Um resolvedor restrito ao seu próprio espaço de endereços não pode ser explorado como refletor desta forma, já que tráfego falsificado a fingir ser uma vítima qualquer nunca o teria alcançado a partir do exterior de qualquer forma.

Mitigações habituais

• Limitação de taxa de resposta (RRL) em servidores autoritativos, que restringe respostas idênticas repetidas enviadas para a mesma origem aparente
• Desativar a recursão aberta em qualquer resolvedor que não se destine especificamente a servir a internet pública
• Filtragem de endereço de origem BCP38 na periferia da rede, que impede por completo que pacotes com origem falsificada saiam de uma rede — resolvendo a causa raiz em vez de um sintoma a jusante

Como o PixDNS se enquadra nisto

As próprias pesquisas do PixDNS consultam, em nome do utilizador, uma lista branca fixa e pequena dos principais resolvedores públicos, em vez de operar o seu próprio resolvedor recursivo aberto que qualquer tráfego da internet pudesse consultar ou explorar como refletor.

Consulte o DNS de um domínio