¿Qué es un ataque DDoS de DNS?

¿Qué es un ataque DDoS de DNS?

Un ataque DDoS de DNS es un ataque de denegación de servicio distribuido que apunta al Sistema de Nombres de Dominio o lo usa como arma. O bien la avalancha golpea los servidores DNS, de modo que los nombres dejan de resolverse y tu sitio parece caído, o bien los atacantes rebotan tráfico en servidores DNS para inundar a otra víctima. Esta entrada explica y ayuda a defenderse. LoadFocus nunca simula ataques.

Dos formas de ataque

• Inundación directa de los servidores DNS. Una botnet envía más consultas de las que pueden responder tus servidores de nombres autoritativos o los de tu proveedor. Tus servidores web pueden estar perfectamente sanos, pero los visitantes no los encuentran. Una variante pide nombres inventados que ninguna caché ha visto, así que las consultas no se pueden responder desde la caché y todas llegan al servidor autoritativo.
• Reflexión y amplificación. El atacante envía consultas DNS a servidores abiertos con la dirección de la víctima falsificada como origen. Los servidores envían sus respuestas a la víctima. Consultas como ANY devuelven respuestas mucho mayores que la petición, lo que amplifica el tráfico. CISA señala que, como las respuestas proceden de servidores legítimos, estos ataques son extremadamente difíciles de prevenir. Véase la entrada sobre el ataque de amplificación DNS.

Por qué DNS es un objetivo

Casi toda conexión empieza con una consulta, así que tumbar el DNS tumba todo lo que hay detrás. Muchas consultas DNS viajan por UDP, que no tiene un acuerdo previo de conexión, por lo que no se comprueba una dirección de origen falsificada. Por eso las defensas siguientes se centran en quién puede consultar y en dónde se descartan los paquetes falsificados.

Señales de alerta

• Las resoluciones fallan o van lentas mientras tus servidores funcionan.
• Tus servidores DNS reciben un pico de consultas o, en la reflexión, respuestas sin petición correspondiente. CISA lo señala como el indicador principal.
• Las comprobaciones desde varias regiones no resuelven tu dominio. Según CISA, la monitorización del tráfico en un cortafuegos o sistema de detección de intrusiones es la forma más fiable de confirmar un ataque.

Cómo defender tu DNS

• Desactiva la recursión en los servidores solo autoritativos (CISA, RFC 5358).
• Atiende consultas recursivas solo a tus propios clientes. La RFC 5358 indica que, por defecto, los servidores de nombres no deberían ofrecer servicio recursivo a redes externas. Usa listas de control de acceso.
• Pregunta a tu ISP y a tu equipo de red por la validación de direcciones de origen (filtrado de entrada BCP 38), la solución real contra la suplantación según la RFC 5358 y CISA.
• Valora limitar la tasa de respuestas en los servidores autoritativos. CISA advierte de que puede bloquear equipos legítimos.
• Usa un proveedor de DNS gestionado con protección DDoS y ten un plan para cuando sufra un ataque. CISA recomienda un servicio de protección contra DoS y un plan de recuperación.
• No cuentes con DNSSEC. La RFC 4033 afirma que DNSSEC no ofrece protección frente a ataques de denegación de servicio, y sus respuestas más grandes pueden facilitar la amplificación.

Para el panorama general, consulta cómo detener ataques DDoS, la protección contra DoS y los ataques DDoS de capa de aplicación, que golpean la aplicación web y no el DNS.

Dónde encaja LoadFocus

LoadFocus no realiza pruebas de carga contra servidores DNS ni simula ataques DNS ni de ningún otro tipo. Mitigar una inundación DNS es tarea de tu proveedor de DNS y de tu equipo de red. Lo que sí puede hacer LoadFocus es avisarte cuando algo falla y mostrarte cómo responde tu aplicación al tráfico legítimo. La monitorización de API incluye comprobaciones de registros DNS y comprobaciones HTTP desde 25 regiones, con alertas por correo, Slack y otros canales, y las comprobaciones gratuitas se ejecutan cada 5 minutos. Las pruebas de carga envían peticiones HTTP y HTTPS a una aplicación propia o que tengas autorización para probar, para que conozcas su capacidad real antes de un ataque o un pico de tráfico.

Preguntas frecuentes: ataques DDoS de DNS

¿En qué se diferencia de la amplificación DNS?

DDoS de DNS es el término general. Incluye las inundaciones directas contra servidores DNS y los ataques de reflexión. La amplificación es una técnica de reflexión en la que consultas pequeñas provocan respuestas grandes enviadas a la víctima.

¿DNSSEC detiene los ataques DDoS de DNS?

No. Según la RFC 4033, DNSSEC no ofrece protección frente a ataques de denegación de servicio. Protege la integridad de los datos DNS, no su disponibilidad.

¿Un CDN protege mi DNS?

Por sí solo, no. Un CDN sirve tu contenido, pero los nombres siguen resolviéndose a través de tu DNS. Protege la capa DNS por separado.

¿Cómo sé que es el DNS y no mi sitio web?

Si tus servidores web responden al acceder por dirección IP pero el nombre de dominio no se resuelve desde varios lugares, lo probable es que el problema sea el DNS. Las comprobaciones multirregión lo muestran enseguida.

¿Puedo probar mi DNS con una inundación?

No inundes servidores DNS que no sean tuyos ni proveedores compartidos. Somete a tu propia aplicación a pruebas de carga en un entorno acordado y consulta a tu proveedor de DNS qué protección ofrece.