New Year: DNS open resolvers quantity dynamics

In summer 2016 I provided brief analysis of open DNS-resolvers (DDoS-attacks type DNS Amplification sources) by countries. Using the same shodan I decided to make NY report and to calculate the dynamics. The year is new but security holes are old.

So, NY report for DNS with open recursion has such behavior as to June one in integral TOP-10 for the world:

	2016	2017	Fixed, %
China	1066365	604080	43,35
Taiwan	308033	244719	20,55
USA	254265	206442	18,81
Korea	252341	232386	7,91
Russia	172123	131060	23,86
India	160751	115616	28,08
Brazil	155392	155889	-0,32
Turkey	97970	74572	23,88
Japan	58950	49473	16,08
Italy	46168	54122	-17,23

Новый год: динамика латания дыр DNS по странам

В прошлом году летом я приводил краткий анализ количества открытых DNS-резолверов (читай источников DDoS-атак DNS Amplification) по странам. Ради интереса решил из того же shodan сделать новогодний отчет и посмотреть динамику. Год новый, но дыры старые.

Новогодний отчет по DNS на shodan по сравнению с июньским показал такую динамику в интегральном TOP-10:

	2016	2017	Fixed, %
China	1066365	604080	43,35
Taiwan	308033	244719	20,55
USA	254265	206442	18,81
Korea	252341	232386	7,91
Russia	172123	131060	23,86
India	160751	115616	28,08
Brazil	155392	155889	-0,32
Turkey	97970	74572	23,88
Japan	58950	49473	16,08
Italy	46168	54122	-17,23

Страны с положительным процентом устранения уменьшили количество открытых резолверов, с отрицательным - увеличили.

В целом устройств с открытым DNS стало меньше. Если сделать подобный срез по всему миру, то увидим уменьшение количества резолверов:

TOTAL

3537994

2710631

23,39

Дифференциальный же TOP-10 на базе интегрального по проценту закрытых резолверов DNS выглядит следующим образом:


И в табличном виде:

	Country	Fixed, %
1	China	43,35
2	India	28,08
3	Turkey	23,88
4	Russia	23,86
5	Taiwan	20,55
6	USA	18,81
7	Japan	16,08
8	Korea	7,91
9	Brazil	-0,32
10	Italy	-17,23

Итого, видно, что в IPv4-пространстве мира стало в среднем на 23,4% меньше DNS-серверов, которые дают всем возможность использовать их как источник DDoS-атак.
Возможные причины:

• Инженеры перенастроили DNS-сервера на работу правильным образом
• Инженеры отключили неиспользуемые сервисы
• Хостеры/провайдеры заблокировали часть источников паразитного трафика
• Обновленное ПО по умолчанию закрывает рекурсию
• Shodan перестал видеть часть уязвимых серверов
• Ваш вариант

Будем надеяться, что новый год поможет нам закрыть хотя бы старые дыры.
Как закрыть дырявый DNS - написано здесь (по-русски) и здесь (по-нерусски).

Protect You and Others from DDoS. Make Your Network "Cleaner" Part 1. DNS Amplification

This article was published in the May issue of the "System Administrator" journal (Russian). Original text is also available in Russian.

If you want to make a contribution to the wold-wide cyberspace security and DDoS-protection it is not necessary to buy expensive equipment or service. Any Internet-faced server admin may participate in such a noble action with no additional money but time and knowledge investment only.

Let's analyze DDoS-attacks type "amplification" using DNS.

Ответ на вопрос читателей по защите от DNS Amplification

Задали недавно вопрос по моей статье: и чем же помогут твои рекомендации защититься от DDoS самому, а не только стать бесполезным для использования в качестве амплификатора при атаке на другого?

Хотя не быть амплификатором - тоже не каждому дано, судя по анализу статистики из Shodan тут и тут, но вопрос резонный. Попробую ответить.

Защита от DDoS подручными средствами. Часть 1. DNS Amplification

По согласованию с редакцией журнала публикую свою статью "Защита от DDoS подручными средствами. Часть 1. DNS Amplification" из майского (2016) выпуска журнала "Системный администратор".

Чтобы сделать свой вклад в защиту всемирного киберпространства от DDoS, совсем не обязательно покупать дорогостоящее оборудование или сервис. Любой администратор сервера, доступного из Интернет, может поучаствовать в столь благородном деле без дополнительных материальных вложений, используя только знания и немного времени.

Рассмотрим DDoS-атаки типа "усиление"(amplification) с использованием сервиса DNS.

DNS как источник DDoS: динамика латания дыры по миру

Ни для кого не секрет, что открытые резолверы DNS с неконтролируемой рекурсией - неиссякаемый источник DDoS-атак типа amplification (усиление).

В связи с желанием сделать мир чище, в частности, в противодействии DDoS без особых затрат, решил недавно поинтересоваться статистикой наличия открытых DNS-резолверов по странам и динамикой их закрытия.

Does DNS use TCP or UDP? RFC says...

Usually we mean DNS uses UDP port 53 but TCP port 53 is reserved for DNS too.
After some time the one question may become interesting for any specialist working with information technologies or information security:

When does DNS use UDP or TCP?

Answer is provided by  RFC5966, section 4. Transport Protocol Selection, where you may find such statements:

Most DNS [RFC1034] transactions take place over UDP [RFC0768].  TCP
[RFC0793] is always used for zone transfers and is often used for
messages whose sizes exceed the DNS protocol's original 512-byte
limit.

So, every request except zone transfer (query type AXFR) and the large message (more than 512 bytes) containing one is processed by UDP.
One can ask: "Why AXFR and large messages must use TCP?". The reason is ability to use UDP-based services with large responses for DDoS-attacks.

All general-purpose DNS implementations MUST support both UDP and TCP
transport.

It means that each DNS-server implementation must support both transport protocols.

DNS использует UDP или TCP? Что говорит RFC

Как правило, считается, что DNS использует UDP port 53, но TCP port 53 также зарезервирован под использование для DNS.  

Со временем ответ на довольно примитивный вопрос начинает интересовать каждого специалиста, так или иначе имеющего отношение к информационным технологиям и безопасности: 

В каком случае DNS работает по UDP, а в каком - по TCP?

На этот вопрос отвечает действующий документ RFC5966, раздел 4. Transport Protocol Selection, в котором фигурируют следующие утверждения:

Most DNS [RFC1034] transactions take place over UDP [RFC0768].  TCP
[RFC0793] is always used for zone transfers and is often used for
messages whose sizes exceed the DNS protocol's original 512-byte
limit.

То есть, большинство DNS-запросов будет обрабатываться с использованием протокола UDP, исключение составляют трансфер зоны (Query type AXFR) и ответы сервера, превышающие 512 байт на одно сообщение. На вопрос "зачем" ответ простой: чтобы не использовались для DDoS.

All general-purpose DNS implementations MUST support both UDP and TCP
transport.

Это означает, что все реализации DNS-серверов в общем случае должны поддерживать использование обоих протоколов транспортного уровня: TCP и UDP.