DDOS 分布式拒绝服务，主要是针对目标系统的恶意网络攻击行为，导致被攻击者的业务无法正常访问。相信各位站长对于 DDOS 已经是耳熟能详，倒背如流了的境界了，但是对于不和网络相关工作的人员或者是一些企业网站运维人员就不见得可以分辨出 DDOS 的攻击类型。在前面小编讲了关于 NTP 放大攻击的操作流程预计防御措施。那么这次主要分享下 DNS 放大攻击的操作流程以及防御措施。
DNS 放大攻击与 NTP 放大攻击是相似的，但相比 NTP 放大频率 DNS 放大频率更高。一般攻击者会利用僵尸网络中的被控主机伪装成被攻击主机，然后设置成特定的时间点连续向多个允许递归查询的 DNS 服务器发送大量 DNS 服务请求，然后让其提供应答服务，应答数据经 DNS 服务器放大后发送到被攻击主机，形成大量的流量攻击，耗尽服务器的资源，导致其无法提供正常服务甚至瘫痪。
DNS 放大攻击工作原理：
基本上大部分的放大攻击是攻击者通过许多请求然后将其放大以此来消耗目标 Web 资源间的带宽。通常黑客利用 DNS 服务器放大攻击的特性，使用受损的被控僵尸主机将带有欺骗性 IP 地址，然后利用 DNS 服务器向被攻击者返回查询的结果。通常查询应答数据包会比查询请求数据包大数倍。导致被攻击者的源服务器因为泛滥的流量而变得不堪重负，最终导致拒绝服务。
DNS 放大攻击的防御措施：
1. 正确配置防火墙和网络容量；
2. 增大链路带宽；
3. 限制 DNS 解析器仅响应来自可信源的查询或者关闭 DNS 服务器的递归查询；
4. 使用 DDoS 防御产品，将入口异常访问请求进行过滤清洗，然后将正常的访问请求分发给服务器进行业务处理。
最近金融方面的一些小型企业用户对墨者安全反映说遭到了 DDoS 攻击，因此建议这类客户对自己的网络基础设施进行全方面的排查，安装最新补丁。对服务器各个协议的配置进行排查，禁用可能会被攻击工具利用的服务。提前做好防护，避免潜在危险。