Attaque par amplification DNS

Une attaque par amplification DNS est une attaque par déni de service distribué (DDos) basée sur la réflexion. Pour cacher l'origine de l'attaque, l'attaquant déguise les requêtes de consultation des serveurs du système de noms de domaine (DNS) afin de diriger la réponse de la cible. L'attaquant transforme une simple requête DNS en une énorme charge utile qui est dirigée vers le réseau cible en utilisant diverses techniques. L'attaquant utilise une fausse adresse IP pour envoyer une requête DNS aux serveurs DNS vulnérables. Ces serveurs DNS sont le plus souvent des relais ouverts-récursifs. Pour la dissimulation et une plus grande base d'attaque, la requête originale peut être relayée par un botnet. Les requêtes DNS sont envoyées via l'extension EDNS0 du protocole DNS, qui permet d'envoyer des messages DNS de grande taille. Pour augmenter la taille du message, il peut utiliser l'extension de sécurité DNS (DNSSEC). Ces amplifications peuvent faire passer la taille des requêtes d'environ 40 octets à plus de 4000 octets, soit la taille maximale des paquets Ethernet. Elles doivent donc être décomposées pour être transmises, puis réassemblées, ce qui nécessite d'autres ressources du réseau cible. Un attaquant peut diriger des attaques de grande envergure en utilisant les nombreuses requêtes amplifiées des botnets. Cela leur permet d'utiliser très peu de bande passante. Comme l'attaque provient de serveurs d'apparence légitime et de trafic d'apparence valide, il est difficile de s'en défendre. L'amplification DNS

est l'un des types d'attaque les plus populaires. Spamhaus a été visé en mars 2013 par un attaquant utilisant un logiciel malveillant. Ce fournisseur avait été placé sur une liste noire et son activité avait été perturbée. L'anonymat de l'attaque était tel que Spamhaus n'est toujours pas sûr de la source. En outre, l'attaque a été si grave qu'elle a temporairement paralysé et presque fait tomber Internet. Les méthodes proposées pour prévenir ou atténuer l'impact des attaques par amplification DNS comprennent la limitation du débit, le blocage de serveurs DNS spécifiques ou de tous les serveurs relais récursifs ouverts, et le renforcement de la sécurité des serveurs DNS en général.