DNS Sorgu Seli

DNS sorgu selinde zekice hiçbir şey yoktur. Sorgular iyi biçimlenmiştir, adlar genellikle gerçektir, ve her biri sunucunun cevaplaması gereken bir soru sorar. Yalnızca sunucunun kaldırabileceğinden çok sayıdadırlar.

Zorluk bu sadelikte. İmzalanacak bir bozukluk, fark edilecek bir yükseltme katsayısı, işaret edilecek bir protokol ihlali yok. Yalnızca popülerlikten ayrılması gereken hacim var.

Kısaca

Cihaz	Özellik	Sorgu seli	Su işkencesi	Yükseltme
Sorgular neyi soruyor	Var olan adları	Var olmayan rastgele adları	Cevabı büyük olan her şeyi
Hedef	Sizin DNS sunucunuz	Sizin sunucunuz ve başka çözümleyiciler	Başkası; DNS yansıtıcı olarak kullanılıyor
Önbellek davranışı	Önbellek çoğunu emer	Önbellek yapısal olarak işe yaramaz	Konuyla ilgisiz
Ayırt edici sinyal	Hız ve kaynak yayılımı	NXDOMAIN oranı	Cevap boyu ve sahte kaynaklar

DNS trafiği olarak gelen ve üç ayrı müdahale isteyen üç saldırı. DNS azaltmasının bu kadar sık yanlış ayarlanmasının sebebi bunları tek kategori saymak.

Neyi tüketiyor

Sorgu işleme kapasitesi: ayrıştırma, arama ve cevap üretimi, hepsi sorgu başına.

Bant genişliği, ancak beklenenden az. DNS mesajları küçüktür, yani sorgu seli hattı zorlamadan çok önce sunucuyu doyurabilir. Bu da onu sık sık hacimsel bir sorundan çok paket hızı sorunu yapar.

Özyinelemeli çözümleyiciler için üst katman kapasitesi, çözümleyicinin önbelleğinde olmayan adlardan oluşan bir sel her birini iletmeye zorladığında.

Sonuç orantısızdır. DNS bir kurumdaki neredeyse her şeyin bağımlılığıdır, yani onu tüketmek kısmi bir saldırıdan toplam bir kesinti üretir.

Benzer saldırılardan farkı

DNS trafiği olarak gelen ve rutin olarak karıştırılan üç saldırı var, ki yukarıdaki tablonun onları ayırmasının sebebi budur.

Sorgu seli var olan adları sorar. Önbellekleme büyük bir kısmını emer, yani yetkili sunucuya ulaşan yük gönderilenden çok daha küçüktür.

Su işkencesi var olmayan rastgele adları sorar, yani önbellekleme yapı gereği yardım edemez. Ayırt edici sinyal sorgu hızı değil NXDOMAIN oranıdır.

Yükseltme sizin DNS’inizi hedeflemez bile. Onu başkasına saldırmak için kullanır, ve ele veren şey sahte kaynaklara karşı cevap boyudur.

Yanlış olanı azaltmak emeği boşa harcar, bazen de işleri kötüleştirir: üçüncü duruma göre ayarlanmış cevap hız sınırı birincisi için pek bir şey yapmaz.

Ekranda görünenler

• Sabit bir NXDOMAIN oranına karşı keskin yükselen sorgu hızı, ki bu onu su işkencesinden hemen ayırır.
• Sorgu adı dağılımı: bir ya da birkaç ada yönelmiş bir sel, meşru talepten çok farklı görünür.
• Cevap gecikmesinin yükselmesi, sonra zaman aşımları, sonra yeniden denemeler. Yeniden denemeler yük ekler ve eğriyi saldırının kendisinden dik yapar.
• Kaynak dağılımı: az sayıda kaynak yüksek hızda mı, çok sayıda kaynak düşük hızda mı? Her biri hangi denetimin işe yarayacağını değiştirir.
• Özyinelemeli bir çözümleyicide önbellek isabet oranının düşmesi.

Yaygın yanlış pozitifler

Gerçek bir trafik olayı. Bir kampanya açılışı, viral bir bağlantı ya da bir haber tam olarak bu biçimi üretir, ve ardından gelen geri besleme döngüsü klasik kendi kendine açılan kesintidir: yılın en yoğun meşru saatinde eşikler sıkılır.

Hatalı davranan bir istemci topluluğu. Bozuk bir yeniden deneme döngüsü ya da yok sayılan bir TTL, tamamen meşru adreslerden saldırıdan ayırt edilemeyen sorgu hızları üretebilir.

TTL süresinin eşzamanlanması. Çok sayıda çözümleyici aynı kaydı aynı anda düşürdüğünde yetkili sunucu gerçek ve periyodik bir sıçrama görür.

Katman katman azaltma

Gerçekte sahip olduğunuz tepeye göre kapasite ayırın. DNS, koruduğu şeye göre ucuza ölçeklenir, ve bu sorunun büyük kısmı savunmadan çok yetersiz kapasitedir.

Anycast, ki yapısal cevap budur. Servisi çok sayıda düğüme dağıtmak, dağıtık bir selin yoğunlaşmak yerine bölünmesi demektir, ve aynı zamanda olağan gecikmeyi de iyileştirir.

Kaynak başına sorgu hız sınırları, varsayılandan değil ölçülmüş meşru çözümleyici davranışından türetilmiş. Büyük çözümleyiciler meşru olarak çok gönderir, önce onları beyaz listeye alın.

Yetkili sunucularda cevap hız sınırı, öncelikle yansıtma durumunu karşıladığını bilerek.

Şüpheli kaynaklar için kesip TCP’ye zorlama, ki sahteciliği bir gidiş dönüş bedeliyle filtreler ve TCP yolunun buna hazırlanmış olmasını gerektirir.

Yetkiliyi özyinelemeliden ayırın. Kullanıcılarınıza hizmet eden bir çözümleyici ile internete hizmet eden yetkili bir sunucunun riski ve arıza sonucu farklıdır, ve birleştirmek tek bir saldırının ikisini birden götürmesi demektir.

Operasyonel tuzaklar

Gerçek bir tepede sınırları sıkmak. Burada mevcut en pahalı hata, ve konsoldan bakınca tam olarak doğru eylem gibi görünür.

Büyük çözümleyicileri hız sınırlamak. Bir avuç büyük çözümleyici meşru sorguların büyük bir kısmını taşır, ve onlar hesaba katılmadan konan kaynak başına sınır internetin çoğunu reddeder.

Yeniden deneme çoğaltmasını yok saymak. Cevaplar yavaşlayınca istemciler yeniden dener, ve gözlenen hız saldırının kendi hızının üstüne çıkar. Bunu tırmanma olarak okumak aşırı düzeltmeye götürür.

Güvenli doğrulama

Var olan adlar için artan hızda geçerli sorgulardan oluşan bir sel üretin ve şunları kaydedin: cevap gecikmesinin bozulduğu sorgu hızı, baştan sona NXDOMAIN oranı, ve bir kontrol kaynağından meşru çözümlemenin sürüp sürmediği.

Su işkencesi varyantını ayrıca çalıştırın ve karşılaştırın. İkisi farklı eğriler ve farklı sayaçlar üretir, ve ikisini yan yana görmüş bir ekip gerçek olayı onuncu dakikada değil ilk dakikada sınıflandırır.

Yalıtım ve yetki gereklilikleri test laboratuvarı rehberinde ve yetkili testte.