浅谈DNS放大攻击的工作原理以及防御措施？

DDOS分布式拒绝服务，主要是针对目标系统的恶意网络攻击行为，导致被攻击者的业务无法正常访问。相信各位站长对于DDOS已经是耳熟能详，倒背如流了的境界了，但是对于不和网络相关工作的人员或者是一些企业网站运维人员就不见得可以分辨出DDOS的攻击类型。在前面小编讲了关于NTP放大攻击的操作流程预计防御措施。那么这次主要分享下DNS放大攻击的操作流程以及防御措施。

DNS放大攻击与NTP放大攻击是相似的，但相比NTP放大频率DNS放大频率更高。一般攻击者会利用僵尸网络中的被控主机伪装成被攻击主机，然后设置成特定的时间点连续向多个允许递归查询的DNS服务器发送大量DNS服务请求，然后让其提供应答服务，应答数据经DNS服务器放大后发送到被攻击主机，形成大量的流量攻击，耗尽服务器的资源，导致其无法提供正常服务甚至瘫痪。

DNS放大攻击工作原理：

基本上大部分的放大攻击是攻击者通过许多请求然后将其放大以此来消耗目标Web资源间的带宽。通常黑客利用DNS服务器放大攻击的特性，使用受损的被控僵尸主机将带有欺骗性IP地址，然后利用DNS服务器向被攻击者返回查询的结果。通常查询应答数据包会比查询请求数据包大数倍。导致被攻击者的源服务器因为泛滥的流量而变得不堪重负，最终导致拒绝服务。

DNS放大攻击的防御措施：

1.正确配置防火墙和网络容量；

2.增大链路带宽；

3.限制DNS解析器仅响应来自可信源的查询或者关闭DNS服务器的递归查询；

4.使用DDoS防御产品，将入口异常访问请求进行过滤清洗，然后将正常的访问请求分发给服务器进行业务处理。

最近金融方面的一些小型企业用户对墨者安全反映说遭到了DDoS攻击，因此建议这类客户对自己的网络基础设施进行全方面的排查，安装最新补丁。对服务器各个协议的配置进行排查，禁用可能会被攻击工具利用的服务。提前做好防护，避免潜在危险。