Was ist ein DNS-Amplification-Angriff? Abwehr

Was ist ein DNS-Amplification-Angriff?

Ein DNS-Amplification-Angriff (DNS-Verstärkungsangriff) ist eine reflexionsbasierte DDoS-Technik. Der Angreifer schickt kleine DNS-Anfragen an offene DNS-Resolver und fälscht dabei die IP-Adresse des Opfers als Absender. Die Resolver senden ihre viel größeren Antworten an das Opfer, sodass aus wenig Angreifer-Bandbreite eine Flut unerwünschten Datenverkehrs wird. Es ist ein DDoS-Angriff auf die Netzwerkkapazität, und das Opfer kommuniziert nie direkt mit dem Angreifer.

Dieser Eintrag erklärt die Technik und die Abwehr. LoadFocus simuliert weder DNS-Amplification noch andere Angriffe.

So funktioniert es

1. Gefälschte Anfrage. Der Angreifer sendet eine DNS-Anfrage mit der IP des Opfers als Absender. UDP hat keinen Handshake, daher prüft niemand diese Angabe.
2. Großer Eintrag angefordert. Die Anfrage verlangt etwas mit großer Antwort, historisch eine ANY-Anfrage oder Einträge mit DNSSEC-Daten.
3. Offener Resolver antwortet. Ein rekursiver Resolver, der Anfragen von jedem beantwortet, schickt die volle Antwort an die gefälschte Adresse.
4. Das Opfer wird überflutet. Tausende Resolver gleichzeitig überlasten die Leitung, Firewall oder DNS-Server des Opfers. Das Größenverhältnis von Antwort zu Anfrage ist der Verstärkungsfaktor und hängt von den Daten des Eintrags ab.

Beispiel

Ein kleines Unternehmen betreibt einen eigenen autoritativen Nameserver. Ein Angreifer fälscht dessen IP und fragt tausende falsch konfigurierte Resolver nach großen Einträgen. Am Netzwerkrand springt der Verkehr von wenigen Mbit/s auf die volle Auslastung der Leitung, Website und Mail antworten nicht mehr, und der Verkehr ist schwer zu filtern, weil er von legitimen Resolvern kommt. Ratenbegrenzung beim Provider oder ein Scrubbing-Dienst fängt ihn ab.

Häufige Fehler, die es verschlimmern

• Offene Rekursion lassen. Ein Resolver sollte rekursive Anfragen nur für eigene Clients beantworten, nicht für das gesamte Internet.
• Jede ANY-Anfrage vollständig beantworten. RFC 8482 erlaubt autoritativen Servern, auf ANY-Anfragen eine kleine Antwort zu geben.
• Kein Response Rate Limiting. Ohne Begrenzung kann ein Resolver dieselbe große Antwort immer wieder an eine gefälschte Adresse senden.
• Gefälschten Verkehr aus dem eigenen Netz zulassen. BCP 38 (RFC 2827) verlangt, ausgehende Pakete mit fremder Absenderadresse zu verwerfen.
• Nur auf Bandbreite setzen. Volumetrische Angriffe werden vorgelagert abgefangen, bei einem CDN oder Scrubbing-Anbieter.

So wehren Sie sich

• Als mögliches Opfer: Öffentliche Dienste hinter ein CDN oder einen DDoS-Schutzdienst setzen und die Schritte aus DDoS-Angriffe stoppen befolgen.
• Als DNS-Betreiber: offene Rekursion abschalten, Response Rate Limiting aktivieren, ANY-Antworten minimieren und DNS Cookies (RFC 7873) prüfen, die laut RFC den von einem Off-Path-Angreifer verstärkbaren Verkehr stark senken können.
• Als Netzbetreiber: gefälschte Absenderadressen am Rand filtern (BCP 38).

Verwandte Reflexionsangriffe

Zur weiteren Kategorie siehe Was ist ein DNS-DDoS-Angriff. Dasselbe Muster funktioniert mit anderen UDP-Diensten. Das größte bekannte Beispiel ist der Memcached-Angriff auf GitHub im Februar 2018 mit bis zu 1,35 Tbit/s und einem Verstärkungsfaktor von bis zu 51.000 laut Vorfallbericht von GitHub.

Erkennung per Monitoring

Eine Amplification-Flut zeigt sich von außen als Timeouts, fehlgeschlagene Checks und langsame DNS-Antworten. Kontinuierliches API- und Endpunkt-Monitoring aus mehreren Regionen mit Alarmen bei Ausfall und Wiederherstellung zeigt schnell, dass ein Dienst nicht erreichbar ist und ob das Problem überall oder nur in einer Region auftritt. Der Gratis-Tarif prüft alle 5 Minuten. Monitoring erkennt die Auswirkung, es stoppt den Angriff nicht. Lasttests sind eine eigene Kapazitätsübung und keine DDoS-Simulation: Testen Sie nur Systeme, die Ihnen gehören oder für die Sie eine Freigabe haben, und stimmen Sie sich vorher mit Ihrem Anbieter ab.

Häufige Fragen: DNS-Amplification-Angriffe

Kann ich Opfer eines DNS-Amplification-Angriffs werden?

Ja. Jede öffentliche IP-Adresse kann getroffen werden, weil der Verkehr von fremden Resolvern an eine gefälschte Absenderadresse gesendet wird. Üblicher Schutz ist ein CDN oder ein DDoS-Schutzdienst.

Wie prüfe ich, ob mein DNS-Server ein offener Resolver ist?

Senden Sie von einem Rechner außerhalb Ihres Netzes eine rekursive Anfrage an Ihren Server, zum Beispiel mit dig und der Option +recurse. Beantwortet er Domains, für die er nicht zuständig ist, ist die Rekursion offen und sollte auf Ihre eigenen Clients beschränkt werden.

Verschlimmert DNSSEC die Verstärkung?

Es kann, weil signierte Antworten größer sind. DNSSEC bleibt für die Echtheit sinnvoll, sollte aber mit Response Rate Limiting kombiniert werden.

Kann BCP 38 DNS-Amplification stoppen?

Wenn jedes Netz es anwendet, können gefälschte Absenderadressen ihr Netz nicht verlassen, und Reflexionsangriffe würden weitgehend enden. Die Verbreitung ist uneinheitlich, daher brauchen Opfer und DNS-Betreiber weiterhin eigene Schutzmaßnahmen.

Was ist der Unterschied zwischen DNS-Amplification und einem DNS-DDoS-Angriff?

DNS-Amplification ist eine Reflexionstechnik. Ein DNS-DDoS-Angriff ist der weitere Begriff und umfasst auch Fluten gegen den DNS-Server selbst. Mehr dazu im Eintrag zum DNS-DDoS-Angriff.