Sur cette page
À retenir
- UDP/53 est sensibleTout bloquer peut casser de vrais services DNS.
- Les open resolvers amplifientCe repère aide à traiter « Mitigation DDoS amplification DNS » avec un angle précis sur le PPS.
- Le spoofing déclenche la réflexionCe point relie « Mitigation DDoS amplification DNS » à la marge CPU et NIC, avec un filtrage utile et un retour propre.
- La relivraison compteLe trafic DNS utile doit continuer à atteindre la bonne infrastructure.
Définition du problème
Une amplification DNS exploite des résolveurs ouverts ou des serveurs DNS capables de renvoyer des réponses plus grandes que les requêtes reçues. L’attaquant usurpe l’adresse IP de la victime et laisse des serveurs tiers envoyer les réponses vers elle.
Le problème est spécifique : DNS est un service normal et critique. Une réponse UDP/53 n’est pas automatiquement malveillante. Il faut distinguer une réponse inattendue, un flux autoritaire légitime, un résolveur utilisé par les clients et un bruit réfléchi.
- UDP/53 est sensible
- Tout bloquer peut casser de vrais services DNS.
Pourquoi c’est important
DNS soutient presque tout : sites web, panneaux client, API, launchers, domaines de serveurs de jeu et supervision. Une mitigation trop brutale peut rendre un service indisponible même si le volume d’attaque est réduit.
Pour un fournisseur qui vend de l’hébergement ou du transit protégé, la disponibilité DNS influence directement la confiance. Si les domaines ne résolvent plus, le client pense que tout est hors ligne, même quand les machines tournent encore.
Les solutions possibles
La prévention consiste à éviter les résolveurs ouverts, appliquer des règles d’accès et limiter les réponses sur ses propres serveurs DNS. Mais pour la victime, fermer son DNS ne suffit pas : les réflecteurs appartiennent souvent à d’autres réseaux.
Côté mitigation, il faut filtrer en amont les réponses DNS impossibles, contrôler les tailles, les ports, les directions de flux et le ratio entre requêtes vues et réponses reçues. Le tout doit rester compatible avec les usages DNS légitimes.
Stratégie de filtrage pour Mitigation DDoS amplification DNS
La relivraison est choisie selon l’architecture : annonce BGP pour un préfixe, tunnel GRE/IPIP/VXLAN pour un serveur existant, cross-connect pour une présence datacenter ou proxy si le besoin concerne surtout l’expérience utilisateur.
Cas concret d’utilisation
Un SaaS peut héberger son site, son API et son panel derrière plusieurs domaines. Pendant une attaque DNS amplification, le lien reçoit des réponses UDP/53 massives alors que l’infrastructure interne ne les a jamais demandées.
Erreurs fréquentes
La première erreur est de bloquer tout UDP/53 sans vérifier les besoins. Cela peut convenir à une IP qui ne doit jamais parler DNS, mais pas à un service autoritaire, un résolveur contrôlé ou une plateforme avec dépendances DNS.
La deuxième erreur est de confondre prévention et mitigation victime. Sécuriser ses propres serveurs DNS est indispensable, mais ne supprime pas les réflecteurs tiers. Il faut aussi un chemin réseau protégé.
Questions fréquentes
Peut-on bloquer le port UDP 53 pendant une attaque ?
Pas indistinctement. Distinguez ports source et destination, requêtes et réponses, et rôle de l’adresse visée. Bloquer tout le DNS peut interrompre la résolution. Préservez les échanges DNS légitimes en UDP et en TCP.
Qu’est-ce qu’un résolveur ouvert ?
Un résolveur DNS récursif qui répond à des clients extérieurs au public prévu. Réservez la récursion aux clients autorisés ; un serveur DNS public faisant autorité remplit un autre rôle et doit rester accessible aux requêtes publiques légitimes.
DNSSEC influence-t-il l’amplification ?
DNSSEC peut augmenter la taille des réponses légitimes avec les signatures et les enregistrements associés. Une réponse volumineuse ne prouve pas une attaque. Préservez la validation et le recours à TCP tout en traitant la réflexion abusive.
