Ataque de amplificación DNS: qué es y defensa

¿Qué es un ataque de amplificación DNS?

Un ataque de amplificación DNS es una técnica DDoS de reflexión. El atacante envía consultas DNS pequeñas a resolvedores DNS abiertos, falsificando como origen la dirección IP de la víctima. Los resolvedores envían sus respuestas, mucho mayores, a la víctima, de modo que poco ancho de banda del atacante se convierte en una avalancha de tráfico no deseado. Es un ataque DDoS contra la capacidad de red, y la víctima nunca se comunica directamente con el atacante.

Esta entrada explica la técnica y cómo defenderse. LoadFocus no simula la amplificación DNS ni ningún otro ataque.

Cómo funciona

1. Consulta falsificada. El atacante envía una consulta DNS con la IP de la víctima como origen. UDP no tiene negociación previa, así que nadie comprueba ese dato.
2. Registro grande solicitado. La consulta pide algo que genera una respuesta grande, históricamente una consulta ANY o registros con datos DNSSEC.
3. El resolvedor abierto responde. Un resolvedor recursivo que acepta consultas de cualquiera envía la respuesta completa a la dirección falsificada.
4. La víctima se satura. Miles de resolvedores a la vez saturan el enlace, el cortafuegos o los servidores DNS de la víctima. La relación de tamaño entre respuesta y consulta es el factor de amplificación y depende de los datos del registro.

Ejemplo

Una pequeña empresa opera su propio servidor de nombres autoritativo. Un atacante falsifica su IP y consulta a miles de resolvedores mal configurados por registros grandes. En el borde de la red el tráfico pasa de unos pocos Mbit/s a saturar el enlace, la web y el correo dejan de responder, y el tráfico es difícil de filtrar porque procede de resolvedores legítimos. La limitación de tasa en el proveedor o un servicio de depuración de tráfico lo absorbe.

Errores frecuentes que lo empeoran

• Dejar abierta la recursión. Un resolvedor debe responder consultas recursivas solo a sus propios clientes, no a todo internet.
• Responder a cada consulta ANY por completo. La RFC 8482 permite a los servidores autoritativos dar una respuesta pequeña a las consultas ANY.
• No limitar la tasa de respuestas. Sin ello, un resolvedor puede enviar la misma respuesta grande a una dirección falsificada una y otra vez.
• Permitir que tráfico falsificado salga de su red. BCP 38 (RFC 2827) pide descartar los paquetes salientes cuya dirección de origen no pertenece a la red.
• Confiar solo en el ancho de banda. Las inundaciones volumétricas se absorben aguas arriba, en una CDN o un proveedor de depuración.

Cómo defenderse

• Como posible víctima: coloque los servicios públicos detrás de una CDN o un servicio de protección DDoS y siga los pasos de cómo detener ataques DDoS.
• Como operador DNS: desactive la recursión abierta, active la limitación de tasa de respuestas, minimice las respuestas ANY y valore las cookies DNS (RFC 7873), que según la RFC pueden reducir mucho el tráfico que un atacante fuera de la ruta puede amplificar.
• Como operador de red: filtre en el borde las direcciones de origen falsificadas (BCP 38).

Ataques de reflexión relacionados

Para la categoría más amplia, vea qué es un ataque DDoS DNS. El mismo patrón funciona con otros servicios UDP. El ejemplo más grande conocido es el ataque Memcached contra GitHub en febrero de 2018, con un pico de 1,35 Tbps y un factor de amplificación de hasta 51.000, según el informe de incidente de GitHub.

Detección con monitorización

Una inundación de amplificación se ve desde fuera como tiempos de espera agotados, comprobaciones fallidas y respuestas DNS lentas. La monitorización de API y endpoints continua desde varias regiones, con alertas de caída y recuperación, indica enseguida que un servicio no responde y si el problema es global o de una sola región. El plan gratuito comprueba cada 5 minutos. La monitorización detecta el impacto, no detiene el ataque. Las pruebas de carga son un ejercicio de capacidad distinto y no una simulación DDoS: pruebe solo sistemas propios o con autorización y coordínese antes con su proveedor.

Preguntas frecuentes: ataques de amplificación DNS

¿Puedo ser víctima de un ataque de amplificación DNS?

Sí. Cualquier dirección IP pública puede ser objetivo, porque el tráfico lo envían resolvedores de terceros a una dirección de origen falsificada. La defensa habitual es una CDN o un servicio de protección DDoS.

¿Cómo compruebo si mi servidor DNS es un resolvedor abierto?

Desde una máquina fuera de su red, envíe una consulta recursiva a su servidor, por ejemplo con dig y la opción +recurse. Si responde por dominios de los que no es autoritativo, la recursión está abierta y conviene limitarla a sus propios clientes.

¿DNSSEC empeora la amplificación?

Puede hacerlo, porque las respuestas firmadas son mayores. DNSSEC sigue siendo útil para la autenticidad, pero conviene combinarlo con la limitación de tasa de respuestas.

¿Puede BCP 38 detener la amplificación DNS?

Si todas las redes lo aplicaran, las direcciones de origen falsificadas no saldrían de su red y los ataques de reflexión casi desaparecerían. La adopción es desigual, así que víctimas y operadores DNS siguen necesitando sus propias defensas.

¿En qué se diferencia la amplificación DNS de un ataque DDoS DNS?

La amplificación DNS es una técnica de reflexión. Un ataque DDoS DNS es la categoría más amplia e incluye también inundaciones contra el propio servidor DNS. Más en la entrada sobre el ataque DDoS DNS.