什么是 DNS 放大攻击

DNS放大是一种分布式拒绝服务 (DDoS) 攻击，其中，攻击者利用域名系统 (DNS) 服务器中的漏洞，将最初很小的查询变成较大的负载，达到其破坏受害者服务器的目的。 DNS 放大是一种反射攻击，它通过操纵可公开访问域名系统，用大量UDP包淹没一个特定目标。利用各种放大技术，攻击者可”放大”这些UDP包的规模，使攻击变得强大，甚至可以破坏最强大的互联网基础设施。

DNS放大是一种非对称的 DDoS攻击，其中，攻击者向外发出带有虚假目标IP的较小的查询请求，使得被欺骗目标成为更大DNS响应的接收者。利用这些攻击，攻击者达到其目的：通过持续消耗带宽容量而使网络饱和。

   你需要保证手边有能够与你的ISP随时取得联系的应急电话号码。这样，一旦发生这种攻击，你可以马上与ISP联系，让他们在上游过滤掉这种攻击。要识别这种攻击，你要查看包含DNS回复的大量通讯(源UDP端口53)，特别是要查看那些拥有大量DNS记录的端口。一些ISP已经在其整个网络上部署了传感器以便检测各种类型的早期大量通讯。这样，你的ISP很可能在你发现这种攻击之前就发现和避免了这种攻击。

　　最后，为了阻止恶意人员使用你的DNS服务器作为实施DNS放大攻击的代理，你要保证你可以从外部访问的DNS服务器仅为你自己的网络执行循环查询，不为任何互联网上的地址进行这种查询。大多数主要DNS服务器拥有限制循环查询的能力，因此，它们仅接受某些网络的查询，比如你自己的网络。通过阻止利用循环查询装载大型有害的DNS记录，你就可以防止你的DNS服务器成为这个问题的一部分。

转载于:https://my.oschina.net/u/3778497/blog/2907202