CyberGlossary

Ataques y amenazas

Ataque de amplificación de DNS

Definición

Ataque DDoS por reflexión que abusa de resolutores DNS abiertos: envía pequeñas consultas con la IP de la víctima falsificada para que los resolutores le devuelvan grandes respuestas DNS.

En un ataque de amplificación DNS, el adversario envía consultas DNS UDP (habitualmente ANY, TXT o registros DNSSEC que generan respuestas grandes) a numerosos resolutores recursivos abiertos o mal configurados, con la IP de origen falsificada como la de la víctima. Los resolutores envían a la víctima respuestas DNS mucho mayores, multiplicando el ancho de banda del atacante por factores que con frecuencia superan 50×. El tráfico agregado puede saturar el enlace de la víctima o el de su proveedor. Las mitigaciones incluyen cerrar o restringir resolutores abiertos, aplicar limitación de tasa de respuesta (RRL), aplicar validación de origen en bordes de red (BCP 38), usar DNS anycast y servicios de scrubbing, y evitar respuestas EDNS o DNSSEC excesivamente grandes cuando sea posible.

Ejemplos

  • Un atacante envía consultas ANY a miles de resolutores abiertos; cada consulta diminuta provoca respuestas de varios kilobytes hacia la víctima.
  • Botnets derivadas de Mirai abusan de routers domésticos que actúan como recursores abiertos para lanzar inundaciones de cientos de gigabits.

Términos relacionados