Am gestrigen Donnerstag (23. August) war nach eigenen Angaben Heise.de zwischen 14 und 15 Uhr nicht erreichbar. Begründet wurde dies durch einen bisher eher seltenen Fall von DDoS, die sogenannte DNS Amplification Attack. Bei diesem illegalen Angriff werden offene, rekursiv auflösende Nameserver dazu missbraucht, eine Vielzahl an UDP-Paketen als DNS-Antworten an einen Host zu senden, der nie entsprechende Anfragen gestellt hat. Dies geschieht über Requests mit gefakter Absender-IP.
Der durch eine solche Attacke entstandene Traffic legte laut Angaben von Heise die Router des Hosters lahm.
Für Nameserverbetreiber empfiehlt es sich, den Dienst nur für vertrauliche Clients freizuschalten – beispielsweise bereits auf Firewallebene auf ein privates Subnetz zu limitieren. Wer nicht ganz so weit gehen möchte, kann auch rekursive Antworten für die Öffentlichkeit deaktivieren – wenn trotzdem ein Record einer Zone angefragt wird, die nicht lokal definiert wurde, muss man sich mit iterativer Namensauflösung zufrieden stellen. Dabei werden keine Records im eigentlichen Sinn zurückgeliefert, sondern lediglich IP-Adressen von anderen Nameservern, welche die angeforderten Daten bereitstellen.
Bei Bind kann man dieses Verhalten übrigens so konfigurieren:
// Wenn bestimmte Netze in der Bind-Konfiguration häufiger
// verwendet werden, lohnt es sich, hierzu eine ACL anzulegen:
acl "trusted" {
10.25.0.0/16;
192.168.178.0/24;
127.0.0.1;
::1;
}
options {
// ...
// Hier werden rekursive Anfragen nur für die angegebene ACL
// erlaubt:
allow-recursion { trusted; };
// ...
}