CyberGlossary

Атаки и угрозы

DNS-амплификация

Определение

Reflection-DDoS, использующий открытые DNS-резолверы: маленькие запросы с подделанным IP жертвы заставляют резолверы отправлять большие DNS-ответы жертве.

При DNS-амплификации злоумышленник отправляет UDP-запросы DNS (обычно ANY, TXT или DNSSEC-записи, дающие большие ответы) к множеству открытых или плохо настроенных рекурсивных резолверов, подменяя источник IP-адресом жертвы. Резолверы отправляют жертве намного более крупные DNS-ответы, увеличивая полосу атакующего, нередко в 50 и более раз. Совокупный трафик легко переполняет канал жертвы или её провайдера. Меры противодействия: закрытие открытых резолверов, Response Rate Limiting (RRL), валидация источника на границах сети (BCP 38), anycast DNS и DDoS-scrubbing, а также избегание неоправданно больших EDNS/DNSSEC-ответов.

Примеры

  • Злоумышленник отправляет ANY-запросы тысячам открытых резолверов, и каждый крошечный запрос рождает ответы в несколько килобайт жертве.
  • Ботнеты на базе Mirai используют домашние маршрутизаторы, работающие как открытые рекурсоры, для DNS-амплификации сотен Гбит/с.

Связанные термины