Qu'est-ce qu'une attaque DDoS DNS ?

Qu'est-ce qu'une attaque DDoS DNS ?

Une attaque DDoS DNS est une attaque par déni de service distribué qui vise le système de noms de domaine (DNS) ou s'en sert comme arme. Soit le flot frappe les serveurs DNS, si bien que les noms ne se résolvent plus et que votre site semble en panne, soit les attaquants font rebondir du trafic sur des serveurs DNS pour en inonder une autre victime. Cette entrée explique et aide à se défendre. LoadFocus ne simule jamais d'attaques.

Deux formes d'attaque

• Inondation directe des serveurs DNS. Un botnet envoie plus de requêtes que vos serveurs de noms faisant autorité, ou ceux de votre fournisseur, ne peuvent en traiter. Vos serveurs web peuvent être en parfaite santé, mais les visiteurs ne les trouvent pas. Une variante demande des noms inventés qu'aucun cache n'a vus : les requêtes ne peuvent pas être servies par un cache et chacune atteint le serveur faisant autorité.
• Réflexion et amplification. L'attaquant envoie des requêtes DNS à des serveurs ouverts en falsifiant l'adresse de la victime comme source. Les serveurs envoient leurs réponses à la victime. Des requêtes comme ANY renvoient des réponses bien plus grosses que la demande, ce qui amplifie le trafic. La CISA note que, les réponses venant de serveurs légitimes, ces attaques sont extrêmement difficiles à empêcher. Voir l'entrée sur l'attaque par amplification DNS.

Pourquoi le DNS est une cible

Presque toute connexion commence par une résolution de nom : si le DNS tombe, tout ce qui se trouve derrière tombe aussi. Beaucoup de requêtes DNS passent par UDP, qui n'a pas de poignée de main, donc une adresse source falsifiée n'est pas vérifiée. C'est pourquoi les défenses ci-dessous portent sur qui peut interroger et sur l'endroit où les paquets usurpés sont éliminés.

Signes d'alerte

• Les résolutions échouent ou sont lentes alors que vos serveurs fonctionnent.
• Vos serveurs DNS voient un afflux de requêtes ou, en cas de réflexion, des réponses sans requête correspondante. La CISA en fait l'indicateur principal.
• Des vérifications depuis plusieurs régions ne résolvent pas votre domaine. Selon la CISA, la surveillance du trafic sur un pare-feu ou un système de détection d'intrusion est le moyen le plus fiable de confirmer une attaque.

Comment défendre votre DNS

• Désactivez la récursion sur les serveurs uniquement faisant autorité (CISA, RFC 5358).
• Ne servez les requêtes récursives qu'à vos propres clients. La RFC 5358 indique que les serveurs de noms ne devraient pas offrir de service récursif aux réseaux externes par défaut. Utilisez des listes de contrôle d'accès.
• Interrogez votre fournisseur d'accès et votre équipe réseau sur la validation des adresses source (filtrage en entrée BCP 38), la vraie solution contre l'usurpation selon la RFC 5358 et la CISA.
• Envisagez la limitation du débit de réponses sur les serveurs faisant autorité. La CISA prévient qu'elle peut bloquer des hôtes légitimes.
• Utilisez un fournisseur DNS géré avec protection DDoS et prévoyez quoi faire quand il est attaqué. La CISA recommande un service de protection contre le déni de service et un plan de reprise.
• Ne comptez pas sur DNSSEC. La RFC 4033 précise que DNSSEC n'offre aucune protection contre les attaques par déni de service, et ses réponses plus volumineuses peuvent faciliter l'amplification.

Pour le tableau d'ensemble, voir comment stopper les attaques DDoS, la protection contre le déni de service et les attaques DDoS de couche application, qui frappent l'application web plutôt que le DNS.

Où LoadFocus intervient

LoadFocus ne fait pas de tests de charge sur des serveurs DNS et ne simule ni attaque DNS ni aucune autre attaque. Atténuer une inondation DNS relève de votre fournisseur DNS et de votre équipe réseau. LoadFocus peut en revanche vous signaler un problème et montrer comment votre application tient face au trafic légitime. La surveillance des API inclut des vérifications d'enregistrements DNS et des vérifications HTTP depuis 25 régions, avec alertes par e-mail, Slack et d'autres canaux, et les vérifications gratuites s'exécutent toutes les 5 minutes. Les tests de charge envoient des requêtes HTTP et HTTPS à une application qui vous appartient ou que vous êtes autorisé à tester, pour connaître sa capacité réelle avant une attaque ou un pic de trafic.

Questions fréquentes : attaques DDoS DNS

En quoi diffère-t-elle de l'amplification DNS ?

DDoS DNS est le terme général. Il couvre les inondations directes contre les serveurs DNS et les attaques par réflexion. L'amplification est une technique de réflexion où de petites requêtes déclenchent de grosses réponses envoyées à la victime.

DNSSEC arrête-t-il les attaques DDoS DNS ?

Non. Selon la RFC 4033, DNSSEC n'offre aucune protection contre les attaques par déni de service. Il protège l'intégrité des données DNS, pas leur disponibilité.

Un CDN protège-t-il mon DNS ?

Pas à lui seul. Un CDN sert votre contenu, mais les noms doivent toujours se résoudre via votre DNS. Protégez la couche DNS séparément.

Comment savoir que c'est le DNS et pas mon site ?

Si vos serveurs web répondent quand on les joint par adresse IP mais que le nom de domaine ne se résout pas depuis plusieurs endroits, le DNS est probablement en cause. Des vérifications multirégions le montrent vite.

Puis-je tester mon DNS par une inondation ?

N'inondez pas des serveurs DNS qui ne vous appartiennent pas, ni des fournisseurs mutualisés. Mettez votre propre application à l'épreuve avec des tests de charge dans un environnement convenu et interrogez votre fournisseur DNS sur sa protection.