Auf dieser Seite
Das Wichtigste
- UDP/53 ist sensibelAlles zu blockieren kann echte DNS-Dienste brechen.
- Open Resolver verstärkenFehlkonfigurierte Resolver reflektieren große Antworten.
- Spoofing erzeugt ReflectionReflectors antworten an die Opfer-IP.
- Saubere Zustellung zähltNützlicher DNS-Traffic muss die richtige Infrastruktur erreichen.
Definition des Problems
DNS-Amplification missbraucht offene Resolver oder DNS-Server, die größere Antworten zurückgeben als die empfangene Anfrage. Der Angreifer fälscht die Opfer-IP und lässt fremde DNS-Server an das Ziel antworten.
Die Herausforderung ist besonders: DNS ist normal und kritisch. Ein UDP/53-Paket ist nicht automatisch feindlich. Abwehr muss unerwartete Antworten, legitime autoritative Flüsse, Resolver-Verkehr des Kunden und reflektierten Lärm trennen.
- UDP/53 ist sensibel
- Alles zu blockieren kann echte DNS-Dienste brechen.
- Open Resolver verstärken
- Fehlkonfigurierte Resolver reflektieren große Antworten.
- Spoofing erzeugt Reflection
- Reflectors antworten an die Opfer-IP.
Warum es wichtig ist
DNS trägt fast alles: Websites, Kundenpanels, APIs, Launcher, Spielserver-Domains und Monitoring. Eine grobe Abwehr kann einen Dienst unerreichbar machen, obwohl der Angriffsgraph ruhiger aussieht.
Für Anbieter von Hosting oder geschütztem Transit wirkt DNS-Verfügbarkeit direkt auf Vertrauen. Wenn Domains nicht auflösen, glaubt der Kunde an einen Gesamtausfall, auch wenn die Maschinen laufen.
Mögliche Schutzmaßnahmen
Prävention bedeutet: keine offenen Resolver, Zugriffsregeln und Antwortbegrenzung auf eigenen DNS-Servern. Für das Opfer reicht das aber nicht, weil Reflektoren häufig in fremden Netzen stehen.
Opferseitig müssen unmögliche DNS-Antworten vorgelagert gefiltert werden: Größen, Ports, Flussrichtung und Verhältnis zwischen gesehenen Anfragen und empfangenen Antworten, ohne legitime DNS-Nutzung zu zerstören.
Clean-Traffic-Pfad für DNS-Amplification-DDoS-Mitigation
Die Rücklieferung folgt der Architektur: BGP-Ankündigung für Präfixe, GRE/IPIP/VXLAN für bestehende Server, Cross-Connect im Rechenzentrum oder Proxy, wenn Nutzererlebnis im Vordergrund steht.
Konkretes Einsatzbeispiel
Eine SaaS-Plattform betreibt Website, API und Panel über mehrere Domains. Während DNS-Amplification treffen massive UDP/53-Antworten ein, die die interne Plattform nie angefragt hat.
Häufige Fehler
Der erste Fehler ist, UDP/53 pauschal zu blockieren. Das kann für eine IP passen, die nie DNS nutzen soll, aber nicht für autoritatives DNS, kontrollierte Resolver oder Plattformen mit DNS-Abhängigkeiten.
Der zweite Fehler ist, Prävention mit Opfermitigation zu verwechseln. Eigene DNS-Server abzusichern ist zwingend, entfernt aber keine fremden Reflektoren. Ein geschützter Netzwerkpfad bleibt nötig.
Fragen und Antworten
Kann ich während eines Angriffs UDP-Port 53 sperren?
Nicht pauschal. Unterscheiden Sie Quell- und Zielport, Anfragen und Antworten sowie die Rolle der Zieladresse. Eine vollständige DNS-Sperre kann die Namensauflösung unterbrechen. Erhalten Sie legitimen DNS-Verkehr über UDP und TCP.
Was ist ein offener Resolver?
Ein rekursiver DNS-Resolver, der auch Clients außerhalb seines vorgesehenen Nutzerkreises bedient. Beschränken Sie Rekursion auf berechtigte Clients. Ein öffentlicher autoritativer DNS-Server erfüllt eine andere Aufgabe und muss legitime öffentliche Anfragen beantworten.
Beeinflusst DNSSEC die Amplification?
Signaturen und zusätzliche Einträge können legitime DNSSEC-Antworten vergrößern. Große Antworten beweisen keinen Angriff. Bewahren Sie Validierung und TCP-Fallback, während Sie missbräuchliche Reflexion begrenzen.
