Was ist ein DNS-DDoS-Angriff?

Was ist ein DNS-DDoS-Angriff?

Ein DNS-DDoS-Angriff ist ein verteilter Denial-of-Service-Angriff, der das Domain Name System ins Visier nimmt oder als Waffe nutzt. Entweder trifft die Flut DNS-Server, sodass Namen nicht mehr aufgelöst werden und Ihre Website ausgefallen wirkt, oder Angreifer lenken Traffic über DNS-Server auf ein anderes Opfer. Dieser Eintrag erklärt und zeigt Schutzmaßnahmen. LoadFocus simuliert niemals Angriffe.

Zwei Angriffsformen

• Direkte Flut auf DNS-Server. Ein Botnetz schickt mehr Anfragen, als Ihre autoritativen Nameserver oder die Ihres Anbieters beantworten können. Ihre Webserver sind womöglich völlig gesund, aber Besucher finden sie nicht. Eine Variante fragt erfundene Namen ab, die in keinem Cache stehen, sodass die Anfragen nicht aus dem Cache beantwortet werden können und jede den autoritativen Server erreicht.
• Reflexion und Verstärkung. Der Angreifer schickt DNS-Anfragen an offene Server und fälscht die Adresse des Opfers als Absender. Die Server senden ihre Antworten an das Opfer. Anfragen wie ANY liefern viel größere Antworten als die Anfrage, was den Traffic verstärkt. Laut CISA sind diese Angriffe extrem schwer zu verhindern, weil die Antworten von gültigen Servern kommen. Siehe den Eintrag zum DNS-Amplification-Angriff.

Warum DNS ein Ziel ist

Fast jede Verbindung beginnt mit einer Namensauflösung. Fällt DNS aus, fällt alles dahinter mit aus. Viele DNS-Anfragen laufen über UDP, das keinen Handshake kennt, sodass eine gefälschte Absenderadresse nicht geprüft wird. Deshalb konzentrieren sich die Schutzmaßnahmen unten darauf, wer anfragen darf und wo gefälschte Pakete verworfen werden.

Warnzeichen

• Auflösungen schlagen fehl oder sind langsam, obwohl Ihre Server laufen.
• Ihre DNS-Server verzeichnen einen Anfrageschub oder, bei Reflexion, Antworten ohne passende Anfrage. CISA nennt das als wichtigstes Indiz.
• Prüfungen aus mehreren Regionen lösen Ihre Domain nicht auf. Laut CISA ist Traffic-Überwachung an einer Firewall oder einem Intrusion-Detection-System der verlässlichste Weg, einen Angriff zu bestätigen.

So schützen Sie Ihr DNS

• Rekursion auf rein autoritativen Servern abschalten (CISA, RFC 5358).
• Rekursive Anfragen nur für eigene Clients beantworten. RFC 5358 sagt, Nameserver sollten standardmäßig keinen rekursiven Dienst für externe Netze anbieten. Nutzen Sie Zugriffslisten.
• Fragen Sie Ihren Provider und Ihr Netzwerkteam nach der Prüfung von Absenderadressen (BCP 38, Ingress Filtering), laut RFC 5358 und CISA die eigentliche Lösung gegen Spoofing.
• Response Rate Limiting auf autoritativen Servern erwägen. CISA warnt, dass es legitime Hosts blockieren kann.
• Einen verwalteten DNS-Anbieter mit DDoS-Schutz nutzen und einen Plan für den Angriffsfall haben. CISA empfiehlt einen DoS-Schutzdienst und einen Wiederherstellungsplan.
• Verlassen Sie sich nicht auf DNSSEC. RFC 4033 hält fest, dass DNSSEC keinen Schutz vor Denial-of-Service-Angriffen bietet, und seine größeren Antworten können Verstärkung erleichtern.

Das größere Bild zeigen DDoS-Angriffe stoppen, DoS-Schutz und DDoS-Angriffe auf der Anwendungsschicht, die statt DNS die Web-App treffen.

Wo LoadFocus ins Spiel kommt

LoadFocus führt keine Lasttests gegen DNS-Server durch und simuliert weder DNS- noch andere Angriffe. Eine DNS-Flut abzuwehren ist Aufgabe Ihres DNS-Anbieters und Ihres Netzwerkteams. LoadFocus kann Ihnen aber zeigen, wann etwas nicht stimmt und wie Ihre Anwendung mit legitimem Traffic zurechtkommt. Das API-Monitoring umfasst DNS-Record-Prüfungen und HTTP-Prüfungen aus 25 Regionen mit Benachrichtigungen per E-Mail, Slack und weiteren Kanälen, kostenlose Prüfungen laufen alle 5 Minuten. Der Lasttest sendet HTTP- und HTTPS-Anfragen an eine Anwendung, die Ihnen gehört oder die Sie testen dürfen, damit Sie ihre tatsächliche Kapazität vor einem Angriff oder Traffic-Spitzen kennen.

Häufige Fragen: DNS-DDoS-Angriffe

Wie unterscheidet sich ein DNS-DDoS-Angriff von DNS Amplification?

DNS-DDoS ist der Oberbegriff. Er umfasst direkte Fluten gegen DNS-Server und Reflexionsangriffe. Amplification ist eine Reflexionstechnik, bei der kleine Anfragen große Antworten auslösen, die ans Opfer gehen.

Stoppt DNSSEC DNS-DDoS-Angriffe?

Nein. Laut RFC 4033 bietet DNSSEC keinen Schutz vor Denial-of-Service-Angriffen. Es schützt die Integrität der DNS-Daten, nicht ihre Verfügbarkeit.

Schützt ein CDN mein DNS?

Nicht von allein. Ein CDN liefert Ihre Inhalte aus, aber Namen müssen weiterhin über Ihr DNS aufgelöst werden. Schützen Sie die DNS-Ebene gesondert.

Woran erkenne ich, dass es DNS ist und nicht meine Website?

Antworten Ihre Webserver, wenn Sie sie über die IP-Adresse erreichen, der Domainname aber von mehreren Orten nicht aufgelöst wird, ist wahrscheinlich DNS das Problem. Prüfungen aus mehreren Regionen zeigen das schnell.

Kann ich mein DNS mit einer Flut testen?

Fluten Sie keine DNS-Server, die Ihnen nicht gehören, und auch keine geteilten Anbieter. Belasten Sie Ihre eigene Anwendung mit Lasttests in einer abgestimmten Umgebung und fragen Sie Ihren DNS-Anbieter nach seinem Schutz.