Een DDoS-aanval van 75 GBps op anti-spam bedrijf 'spamhaus' legde de afgelopen dagen de website en mail plat.
Nu werkt alles weer, omdat ze Cloudflare hadden ingeschakeld om de aanval te stoppen.
Het is om deze reden ook, dat ik hun diensten ook wel eens wou proberen.

De aanval die werd gebruikt, wordt 'DNS reflection' genoemd.
Hiermee gebruiken ze DNS servers om andere servers aan te vallen.
Concreet vraagt men het root (.) op van een DNS en laat deze terugsturen naar een andere server (target).
Hierdoor kun je met 1 request, je aanval tot 6x zwaarder maken.
Er wordt namelijk meer doorgestuurd dan wat je oorspronkelijk aanvraagt.

Bij de aanval op Spamhaus waren meer dan 30.000 unieke DNS resolvers betrokken

De enige optie om je DNS server hiertegen te vrijwaren is DNSSEC gebruiken.
De nieuwste versies van bind hebben dit nu standaard in zich zitten.

Hopelijk schakelt iedereen snel over op dnssec, zodat deze aanvallen in de toekomst bijna niet meer mogelijk zijn...