¿Qué es un ataque DNS Flood?
El DNS Flood es un ataque DDoS que satura los servidores DNS con un volumen masivo de consultas, agotando su capacidad de responder y dejando inaccesibles los dominios que resuelven. Como el DNS es la guía telefónica de internet, tumbarlo hace que los usuarios no puedan encontrar el sitio aunque el servidor web esté perfectamente operativo.
DNS Flood vs DNS Amplification
El DNS Flood ataca directamente al servidor DNS con consultas. La amplificación DNS, en cambio, usa resolutores abiertos como reflectores: envía consultas pequeñas con la IP de la víctima falsificada y provoca respuestas mucho mayores dirigidas a ella. Ambos abusan del protocolo UDP y de su falta de verificación de origen.
¿Cómo mitigarlo?
Usar proveedores DNS con anycast y alta capacidad, rate limiting de consultas, filtrado de tráfico anómalo, cerrar resolutores abiertos y desplegar servicios anti-DDoS especializados en DNS que distingan consultas legítimas de la avalancha de ataque.
¿En qué se diferencia de la amplificación DNS?
Se confunden a menudo y son ataques distintos. El DNS Flood es un ataque directo: inunda al servidor autoritativo con consultas para agotar su capacidad de resolución. La amplificación usa el DNS como intermediario, enviando consultas pequeñas con la IP de la víctima falsificada a resolutores abiertos para que estos respondan con paquetes mucho mayores contra ella. En el primero el objetivo es el propio servidor DNS; en el segundo, el DNS es solo el altavoz.
Por qué tumbar el DNS tumba todo lo demás
Porque el DNS es el primer paso de casi cualquier conexión. Si el dominio no resuelve, da igual que los servidores web, el correo y las APIs estén perfectamente sanos: para el usuario todo está caído. El daño además persiste más allá del ataque, porque los resolutores intermedios cachean las respuestas negativas durante el tiempo que indique el registro SOA, de modo que el servicio sigue inaccesible un rato después de que el tráfico malicioso haya cesado.
Cómo se defiende la infraestructura DNS
Repartiendo el riesgo: varios servidores autoritativos en redes y proveedores distintos, anycast para que el tráfico se absorba en muchos puntos geográficos en lugar de concentrarse en uno, y limitación de tasa por origen (Response Rate Limiting). Conviene además vigilar la proporción de consultas que terminan en NXDOMAIN, porque una avalancha de subdominios aleatorios inexistentes es la firma del ataque de subdominio aleatorio, que obliga al autoritativo a responder a cada una.
