Um ataque de amplificao de DNS, uma forma de negao de servio

distribudo. Ele se baseia em acessar servidores DNS recursivos e abertos, com o

obetivo de sobrecarregar a vitima com o trafego de resposta. !al ataque se torna
possvel devido ao servio de DNS utili"ar o protocolo de comunicao UD#, que no
mantm sess$es abertas entre cliente e servidor e nem mtodos de autenticao,
facilitando assim forar endereos de origem.
fonte% &ttp%''(((.cert.br'docs'(&itepapers'dns)recursivo)aberto'*+
,s etapas de um ataque deste tipo consiste em%
- atacante publica um registro muito grande em um servidor DNS do qual ele
tem o controle.
- atacante, tendo con&ecimento de servidores abertos e recursivos, envia
consultas para estes pelo registro do passo anterior, forando o ip de origem que
ser/ a vtima.
, vtima recebe as respostas DNS amplificadas de 01 a 21 ve"es o trafego inicial
de consultas, causando assim a negao do servio.
- processo de ataque citado anteriormente, provm de uma grande quantidade de
solicita$es de resolu$es de nomes as quais tem a origem falsificada e igual ao da
vtima. 3orando assim que a vtima receba as respostas no lugar do atacante quem
realmente reali"ou elas.
-s servidores DNS abertos ao reali"arem a primeira consulta, vo buscar as
informa$es no servidor controlado pelo atacante e arma"enar estes dados em cac&e
para as demais solicita$es. 4omo o taman&o das respostas consideravelmente maior
comparado com a solicitao, o atacante consegue amplificar o volume de dados
transferidos. - trafego mdio de uma consulta de apro5imadamente 61 b7tes, que ao
ser retornado a resposta amplificada pode c&egar a 8111 b7es. Este tipo de comunicao
tem seu bloqueio dificultado, devido a ter sua origem em um servidor legitimo. Embora
e5ista essa dificuldade possuem algumas tcnicas para mitigao deste tipo de ataque
que sero abordadas mais adiante.
&ttp%''(((.seginfo.com.br'ataques)de)amplificacao)de)dns)e)recomendacoes)cert)br)
via)nelsonmurilo)e)certbr'
&ttp%''(((.cert.br'docs'(&itepapers'dns)recursivo)aberto'*+
&ttp%''(((.cert.pt'inde5.p&p'alertas'0+92)dns)amplification)attac:s
&ttp%''blog.ne5t&op.com.br';11<'1;'dns)e)os)ataques)de)negao)de)servio.&tml
&ttp%''openresolver.com'
&ttps%''gist.git&ub.com'bitfol:'889;=62'do(nload*
&ttp%''dnsamplificationattac:s.blogspot.ca'
&ttp%''dnsamplificationattac:s.blogspot.ca';108'1<'domain)(radis&com.&tml
&ttps%''evil"one.org'scripting)languages'p7t&on)dns)amplification)attac:'