Op deze pagina
Kernpunten
- UDP/53 is gevoeligAlles blokkeren kan echte DNS-diensten breken.
- Open resolvers versterkenSlecht ingestelde resolvers reflecteren grote antwoorden.
- Spoofing maakt reflectionReflectors antwoorden naar het slachtoffer-IP.
- Schone delivery teltNuttige DNS-traffic moet de juiste infrastructuur bereiken.
Definitie van het probleem
DNS-amplification misbruikt open resolvers of DNS-servers die groter antwoorden dan de ontvangen vraag. De aanvaller vervalst het IP-adres van het slachtoffer en laat DNS-servers van derden naar het doel antwoorden.
De uitdaging is specifiek: DNS is normaal en kritiek. Een UDP/53-pakket is niet automatisch vijandig. Mitigatie moet onverwachte antwoorden, legitieme autoritatieve stromen, resolververkeer van de klant en gereflecteerde ruis onderscheiden.
- UDP/53 is gevoelig
- Alles blokkeren kan echte DNS-diensten breken.
- Open resolvers versterken
- Slecht ingestelde resolvers reflecteren grote antwoorden.
- Spoofing maakt reflection
- Reflectors antwoorden naar het slachtoffer-IP.
Waarom dit belangrijk is
DNS ondersteunt bijna alles: websites, klantpanelen, API’s, launchers, domeinen van gameservers en monitoring. Een botte mitigatie kan een dienst onbereikbaar maken, ook als de aanvalsgrafiek rustiger lijkt.
Voor aanbieders van hosting of beschermde transit beïnvloedt DNS-beschikbaarheid direct het vertrouwen. Als domeinen niet oplossen, denkt de klant dat alles offline is terwijl machines nog draaien.
Mogelijke oplossingen
Preventie betekent geen open resolvers draaien, toegangsregels toepassen en antwoorden op eigen DNS-servers beperken. Voor het slachtoffer is dat niet genoeg, omdat reflectoren vaak in andere netwerken staan.
Aan slachtofferzijde moeten onmogelijke DNS-antwoorden vooraf worden gefilterd: grootte, poorten, richting en de verhouding tussen geziene verzoeken en ontvangen antwoorden, zonder legitiem DNS-gebruik te breken.
Van detectie naar clean delivery voor DNS amplification DDoS mitigatie
Schone teruglevering volgt de architectuur: BGP-aankondiging voor prefixes, GRE/IPIP/VXLAN voor bestaande servers, cross-connect in een datacenter of proxy wanneer gebruikerservaring centraal staat.
Concreet gebruiksvoorbeeld
Een SaaS-platform draait website, API en klantpaneel achter meerdere domeinen. Tijdens DNS-amplification ontvangt de verbinding massale UDP/53-antwoorden die het interne platform nooit heeft gevraagd.
Veelgemaakte fouten
De eerste fout is UDP/53 volledig blokkeren zonder behoefte te controleren. Dat kan passen voor een IP dat nooit DNS gebruikt, maar niet voor autoritatieve DNS, gecontroleerde resolvers of platforms met DNS-afhankelijkheden.
De tweede fout is preventie verwarren met mitigatie van het slachtoffer. Eigen DNS-servers beveiligen is essentieel, maar verwijdert geen reflectoren van derden. Een beschermd netwerkpad blijft nodig.
Vragen en antwoorden
Kan ik UDP-poort 53 blokkeren tijdens een aanval?
Niet zonder onderscheid. Kijk naar bron- en doelpoorten, vragen en antwoorden, en de rol van het doeladres. Alle DNS blokkeren kan naamresolutie onderbreken. Behoud legitieme DNS-uitwisseling via UDP en TCP.
Wat is een open resolver?
Een recursieve DNS-resolver die ook clients buiten de bedoelde gebruikersgroep bedient. Beperk recursie tot bevoegde clients. Een publieke autoritatieve DNS-server heeft een andere taak en moet legitieme publieke vragen blijven beantwoorden.
Heeft DNSSEC invloed op amplificatie?
Handtekeningen en aanvullende records kunnen legitieme DNSSEC-antwoorden groter maken. Een groot antwoord bewijst geen aanval. Behoud validatie en terugval op TCP terwijl u misbruik van reflectie beperkt.
