US-CERT：DNS服务器配置不当是上周300G DDoS的元凶

在利用DNS进行放大攻击过程中，开放式递归DNS服务器是脆弱和可利用的环节。其中，最关键的原因是递归DNS服务器没有进行“仅对本地查询做回应”的配置，而是对任何系统进行回应。美国政府下属的US-CERT就此发布预警，并提供了一些应对的方法。

上周，影响互联网平衡、最大规模的DDoS攻击事件中采用了DNS放大攻击（DNS Amplification attack）。美国政府下属的US-CERT就此发布预警，并提供了一些应对的方法。

在DNS放大攻击中，攻击者利用了DNS的配置错误通过DNS回应包的流量对目标展开DDoS攻击。

在攻击过程中，开放式递归DNS服务器是脆弱和可利用的环节。其中，最关键的原因是递归DNS服务器没有将仅对本地查询做回应放到配置里，而是对任何来自系统的请求进行回应。

“基本的攻击过程是，攻击者向一个开放DNS服务器发出一个DNS查询申请，其源地址伪造为计划攻击目标的地址，”US-CERT解释说，

“当DNS服务器返回响应包时，会发给计划攻击的目标。由于响应数据包通常会比查询数据包要大，攻击者借此可以放大对被攻击目标攻击的流量。”

此外，攻击者还可以通过僵尸网络进一步增大DNS攻击的流量。

递归服务器上存在不正确配置的情况已经不是一个新问题了。早在2007年，DNS服务商Infoblox发现超过一半的DNS服务器可以接受来自任何区域的查询申请。

处于300G DDoS攻击事件漩涡中心的CloudFlare公司的CEO Mathew Prince说：

“传统的僵尸网络由于建立在PC基础上，其互联网带宽是有限的，因此发动的攻击流量也是有限的。开放的DNS解析服务器就不同了，他们往往拥有很充裕的带宽”

Prince称，“他们就像一个个火箭筒一样，在上周见证了其破坏力。”

检测
开放解析服务器计划（Open Resolver Project，openresolverproject.org) ）拥有一份多达2700万个服务器的长名单。他们推测，其中有2500万台存在风险。

IT管理员可以访问OpenResolver的网站，查询自己维护的服务器是否已经在该计划已公开的开放递归服务器IP名单里。The Measurement Factory也有类似的工具用来进行Open Resolver测试（http://dns.measurement-factory.com/cgi-bin/openresolvercheck.pl）。DNSInspect（http://www.dnsinspect.com）提供了一个供管理员使用的在线工具，检查DNS服务器是否存在配置错误。

防护

第一步就是需要确认DNS递归服务器上不存在配置不当的情况。

US-CERT建议DNS服务器仅用于单独域而不是提供对所有域的递归服务。进一步来说，DNS放大攻击使用了伪造的IP地址，US-CERT建议ISP拒绝任何使用伪造IP的DNS流量。对于ISP拒绝虚假IP的建议已经不是新提议了。IETF早在2000年就发布了“Best Current Practice’ document (http://tools.ietf.org/html/bcp38)”,建议ISP对伪造的IP进行过滤。

Source

摘自：http://www.freebuf.com/news/8261.html

文章来源于lcx.cc:US-CERT：DNS服务器配置不当是上周300G DDoS的元凶

相关推荐: 【视频】凤姐终于嫁人了结婚了！老天保佑！

凤姐在江西八一广场附近举办了一场中式婚礼，梦寐以求的出嫁了！ 相关评论：     1.挺佩服她的，一天她和几个姐妹一起，遇见这帅哥，大家开玩笑说：谁敢和帅哥聊上一句！凤姐说我要让他娶我！众女笑离去，她找到他说给我二年时间证明，我让你心甘情愿的娶我。于是有了这些…