Концептуальная модель принимающего узла компьютерной сети под воздействием сетевых

DNS-флуд

DNS-флуд – это тип атаки, в которой целью злоумышленника является один или несколько серверов доменных имен (DNS – Domain Name System). Данный сервер в сети выступает в качестве «справочника» и перенаправляет
трафик по необходимому пути. При выходе DNS-сервера из строя, сегмент сети, использующий этот DNS, может потерять доступ к WEB-ресурсам [64]. Среди атак на DNS необходимо выделить простую DNS-флуд атаку, атаку
DNS NXDOMAIN флуд и DNS amplification.
DNS-флуд – это атака симметричного типа [65]. Она нацелена на исчерпание ресурсов на стороне сервера с помощью потока UDP запросов, сгенерированных скриптом. Обычно осуществляется с помощью нескольких машин бот-сети. Атака на DNS может рассматриваться как вариант атаки на протокол UDP, поскольку DNS-сервера используют данный протокол для разрешения имен. С запросами на основе UDP (в отличие от запросов TCP) полное соединение никогда не устанавливается и, таким образом, становится возможным использование спуфинга.
Чтобы атаковать DNS-сервер, злоумышленник, как правило, запускает скрипт, который отправляет пакеты с поддельными данными. Поскольку атаки прикладного уровня, такие, как DNS-флуд, не требуют отклика для выполнения запроса, злоумышленник может отправлять пакеты, которые не являются точными или даже корректными. Злоумышленник может изменить любое поле пакета, включая исходный IP-адрес, из-за чего будет казаться, что атака осуществляется из нескольких источников. Рандомизированные пакетные данные также помогают правонарушителям избегать общих механизмов защиты от DDoS атак.
Другим распространенным типом атак на DNS является атака DNS NXDOMAIN, в которой злоумышленник перегружает DNS-сервер запросами на несуществующие или недействительные адреса. Все ресурсы рекурсивного сервера тратятся на поиск этих записей, а кэш заполняется поддельными запросами, и в итоге на сервере не остается ресурсов для обслуживания легитимных запросов [66].



Рисунок 1.8. Атака прикладного уровня NXDOMAIN флуд. По [67], с изменениями
Распространенным типом DDoS атак является атака усиления на основе отражения запросов DNS-сервером или DNS amplification [68]. Данная атака часто используется злоумышленниками в качестве средства для проведения DDoS атак, целью которого является другой ресурс. В атаке усиления DNS злоумышленник выполняет большое количество DNS-запросов. Он совершает подмену своего IP-адреса на адрес сервера жертвы и отправляет DNS-запросы на открытые DNS-сервера в Интернете. Данные DNS-сервера отправляют обратно на целевой сервер ответы, которые усиливаются с большим коэффициентом и превосходят по объемам запросы. Очень маленькие DNS- запросы могут приводить к очень большому количеству ответов DNS, то есть к высокому коэффициенту усиления. Таким образом, сервер жертвы подавляется большим количеством нежелательного трафика. Поскольку запросы и ответы DNS выглядят на 100% нормальными, эта атака редко поддается обнаружению с помощью технологий глубокой проверки пакетов.
Благодаря легкодоступности бот-сети с высокой пропускной способностью, злоумышленники теперь могут осуществлять атаки на крупные организации. В ответ на такие атаки некоторые из корневых серверов DNS и серверы верхнего уровня (TLD) реплицируются через IP-адрес Anycast [69]. Задача состоит в том, чтобы отделить распределение данных DNS от иерархии
полномочий для данных [70]. Как только это будет выполнено, можно использовать несколько механизмов, чтобы сделать инфраструктуру распределения данных очень надежной и обеспечить доступность данных во время атаки. Спектр возможных подходов при проектировании защищенной сети весьма широк: от централизованного распределения данных [70] до распределения данных на основе одноранговой сети [72].