DNS-амплификация: DDoS-атака через DNS

DNS-амплификация (DNS Amplification) — это разновидность DDoS-атак, при которой злоумышленники используют открытые DNS-серверы для многократного увеличения объема трафика, направляемого на жертву. 

DNS-амплификация относится к сетевым DDoS-атакам (L3), поскольку ее основная цель — перегрузить сетевые каналы и оборудование жертвы большим объемом трафика.

Для проведения атаки злоумышленники отправляют DNS-запросы на открытые DNS-серверы, подменяя IP-адрес отправителя адресом жертвы. В результате серверы направляют ответы не реальному отправителю — то есть злоумышленникам — а атакуемому ресурсу.

При этом DNS-ответы могут быть во много раз больше исходных запросов. Таким образом, злоумышленники могут генерировать большой объем вредоносного трафика, затрачивая относительно немного собственных ресурсов. Когда множество DNS-серверов одновременно отправляют ответы на адрес жертвы, ее сетевые каналы и оборудование могут оказаться перегружены.

Усиление трафика при DDoS-атаках может происходить не только через DNS, но и через другие сетевые сервисы. Для таких атак обычно выбирают протоколы прикладного уровня, использующие UDP в качестве транспорта. В отличие от TCP, UDP не требует предварительного установления соединения, что позволяет отправлять запросы с подмененным IP-адресом источника.

Главное условие — возможность направить в сторону жертвы ответ, размер которого значительно превышает размер исходного поддельного запроса. Соотношение этих величин называют коэффициентом амплификации, или коэффициентом усиления. Например, в случае DNS-амплификации этот коэффициент может достигать 100:1, то есть на каждый байт запроса может приходиться до 100 байт вредоносного трафика.

Главная опасность DNS-амплификации заключается в том, что она позволяет даже злоумышленникам с небольшими ресурсами проводить мощные DDoS-атаки.

Такие DDoS-атаки также называют отраженными (reflection DDoS), поскольку вредоносный трафик как бы «отражается» от открытых DNS-серверов в сторону цели. Это осложняет защиту от таких атак, поскольку вредоносный трафик поступает из легитимных источников.

Поэтому для противодействия DDoS-атакам с DNS-амплификацией следует использовать специализированные решения, которые анализируют входящий трафик и отфильтровывают вредоносные пакеты еще до их поступления в инфраструктуру клиента.