Амплификация DDoS-атак

Амплификация (Amplification) – это усиление атаки с использованием сторонних серверов в сети интернет. В наших тестах используется наиболее известный и часто применяемый тип – DNS Amplification.

Современные службы DNS могут работать как по TCP, так и по UDP-протоколу и по умолчанию на многих серверах сразу после развёртывания DNS они начинают работать как Open Resolver – сервер, через который можно получить информацию о записях любого домена, даже который он сам не обслуживает. По всему миру существуют миллионы таких серверов.

UDP протокол в отличие от TCP не устанавливает соединения при передаче данных, благодаря чему UDP запрос к DNS серверу очень легко подделать.

В итоге, все что нам нужно – это подменить адрес отправителя в UDP запросе к серверу DNS, и он в свою очередь отправит ответ на сервер жертвы, а не реальному отправителю. Чем короче имя домена, те меньше запрос к DNS серверу (он может быть всего 60-70 байт), ответ же в зависимости от количества записей домена может достигать 1500-2000 байт (а этих записей может быть специально создано огромное множество с большими значениями полей). Таким образом легко достигается 20-30 кратное усиление атаки.

В настоящий момент наиболее распространены атаки от 1 до 3 Гбит/с. Их очень просто сгенерировать с обычного домашнего компьютера, подключенного к сети 50 или 100 Мбит/с.

Мы создали простой онлайн тест, позволяющий быстро определить, можно ли использовать какой-либо сервер для амплификации или просто отражения (перенаправления) атак.