DNS-Sicherheit und Hardening — BIND, DNSdist und volumetrische DDoS-Resilienz

ITORO verkauft keinen generischen „DNS-DDoS-Schutz”. Was wir liefern, ist konkret: Härtung von rekursiven DNS-Resolvern mit einem DNSdist-Sicherheits-Frontend, integriert mit BGP FlowSpec und WanGuard am Netzwerk-Edge. Das bedeutet: Blockieren von Malware-, Phishing-, Glücksspiel- und anderen unsicheren Domains, Rate-Limiting oder Null-Routing missbräuchlicher Resolver und Clients sowie das Verwerfen volumetrischer UDP/53-Fluten — mit Ehrlichkeit darüber, welche Ebene welchen Angriff stoppt.

Rekursiv oder autoritativ — wissen Sie, was Sie betreiben

Die richtige Verteidigung hängt davon ab, was Ihre Server tatsächlich tun. Ein rekursiver Resolver beantwortet Anfragen im Auftrag Ihrer Nutzer und schlägt Antworten über das gesamte Internet nach; er ist Client-seitigem Missbrauch, Cache-Poisoning-Versuchen und der Nutzung als Reflection-Verstärker ausgesetzt. Ein autoritativer Server veröffentlicht Ihre eigenen Zonen für die Welt und ist ein Ziel für Query-Fluten gegen die von Ihnen gehosteten Namen. Beide sehen sich unterschiedlichen Bedrohungen gegenüber und erfordern unterschiedliche Härtung. ITOROs DNSdist-Arbeit konzentriert sich auf den rekursiven Edge — den Resolver, auf den Ihre Teilnehmer oder internen Nutzer zeigen — und darauf, ihn schnell, gefiltert und schwer missbrauchbar zu halten.

DNSdist als Sicherheits-Frontend

DNSdist sitzt vor Ihren Resolver-Backends und gibt Ihnen einen Kontrollpunkt, den reines BIND oder Unbound von sich aus nicht bietet:

• Response Rate Limiting (RRL) sowie Query-Limits pro Client / pro Netz, sodass eine einzelne missbräuchliche Quelle den Resolver nicht erschöpfen kann.
• Dynamisches Blockieren von Quellen, die Verhaltensschwellen überschreiten — die klassische Signatur von NXDOMAIN- und Random-Subdomain-„Water-Torture”-Fluten.
• Protective-DNS-Filterung: Blockieren bekannter Malware-, Phishing-, Command-and-Control-, Glücksspiel- und anderer unsicherer Domains mithilfe von Threat-Feeds (URLhaus, ThreatFox, CERT.pl und ähnliche), wobei eine sichere Antwort zurückgegeben wird, statt sie aufzulösen.
• Load-Balancing und Caching über die Backends, um Query-Spitzen abzufedern und den guten Verkehr weiter zu bedienen.
• Verschlüsseltes DNS — DoT, DoH und DoQ — am Frontend terminiert, mit automatisierten Zertifikaten.

Der Zweck von RRL und dynamischem Blockieren ist präzise: Sie schützen den Resolver davor, überlastet und als Verstärker missbraucht zu werden. Sie formen und verwerfen Queries in Software, auf der Anwendungsebene, wo der Query-Name tatsächlich sichtbar ist.

Wo WanGuard und BGP FlowSpec ansetzen

DNSdist argumentiert über DNS. Es kann Ihnen nicht helfen, wenn das Problem rohes Paketvolumen ist. Eine große Amplification- oder Reflection-Flut auf UDP/53 kann Ihre Uplinks sättigen, bevor auch nur eine einzige Query geparst wird — und hier ändern sich die Werkzeuge. WanGuard erkennt die volumetrische Anomalie aus NetFlow/sFlow/IPFIX und verwirft sie mit BGP FlowSpec oder, im Grenzfall, RTBH am Router-Edge, bevor die Flut den Resolver erreicht. FlowSpec kann UDP/53-Verkehr nach Quelle, Ziel, Port und Paketlänge rate-limiten oder verwerfen — ein grober, aber wirksamer L3/L4-Filter. Das ist die volumetrische Ebene; DNSdist ist die Anwendungsebene; Sie brauchen beide.

Anycast für Kapazität und Blast-Radius

Rekursive Resolver mit Anycast vorzuschalten, verteilt die Query-Last auf mehrere Knoten, die dieselbe Adresse ankündigen. Unter einer Flut wird der Angriffsverkehr verteilt statt auf einer Box konzentriert, und ein aus dem Betrieb genommener Knoten fällt aus, ohne dass sich die Resolver-IP ändert, die Ihre Clients verwenden. Anycast ist für sich genommen keine Mitigation — die Pakete kommen weiterhin irgendwo an —, aber es erhöht das Volumen, das Sie absorbieren können, und verkleinert den Blast-Radius eines einzelnen Ereignisses.

Ehrlicher Rahmen — was diese Werkzeuge nicht können

• BGP FlowSpec drückt nur L3/L4-Match-Kriterien aus. Es kann keinen DNS-Query-Namen inspizieren — es unterscheidet „malware.example” nicht von einer legitimen Anfrage. Namensbasierte Filterung geschieht in DNSdist, nicht in FlowSpec.
• RRL schützt Ihren Resolver, aber die Flut kommt trotzdem auf der Leitung an. Es verhindert, dass Ihr Server zusammenbricht; es macht das Senden der Pakete nicht ungeschehen. Uplink-Sättigung ist ein WanGuard-/Upstream-Problem.
• Volumetrische Ereignisse im Terabit-Bereich übersteigen jede On-Net-Kapazität und erfordern vorgelagertes Scrubbing. Wir sagen Ihnen, wo diese Grenze für Ihr Netz liegt, statt so zu tun, als räume eine einzelne Box sie weg.

NIS2-Konformität

DNS ist unter NIS2 als kritische Infrastruktur benannt. Die DNSdist-Härtung, Protective-Filterung, Protokollierung und Aufbewahrung, verschlüsselter Transport und Monitoring, die wir bereitstellen, bilden die technischen Maßnahmen aus Artikel 21 Absatz 2 direkt ab, und wir liefern eine länderspezifische Compliance-Checkliste sowie eine Integration der Vorfallmeldung an die nationalen CSIRTs.

Häufig gestellte Fragen

Bieten Sie „DNS-DDoS-Schutz” als Produkt an?

Nicht als Blackbox. Wir härten Ihre rekursiven Resolver mit DNSdist und integrieren BGP FlowSpec und WanGuard am Edge. Wir benennen konkret, was wo filtert, statt eine Allheilmittel-Appliance zu verkaufen.

Was ist hier der Unterschied zwischen RRL und BGP FlowSpec?

RRL arbeitet innerhalb von DNSdist auf der Anwendungsebene und kann auf Query-Verhalten und Namen reagieren; BGP FlowSpec arbeitet auf L3/L4 am Router und verwirft Pakete nach Adresse, Port und Protokoll. Das eine schützt die Logik des Resolvers, das andere den Uplink.

Kann DNSdist Phishing- und Glücksspiel-Domains für unsere Nutzer blockieren?

Ja. Als Protective-DNS-Frontend kann es bekannte Malware-, Phishing-, C2-, Glücksspiel- und andere unsichere Domains aus Threat-Feeds abweisen und eine sichere Antwort zurückgeben, statt sie aufzulösen.

Was ist mit den allergrößten UDP/53-Fluten?

WanGuard erkennt und filtert sie mit FlowSpec oder RTBH am Edge; jenseits Ihrer Uplink-Kapazität müssen sie vorgelagert gescrubbt werden. Wir gestalten die Eskalation und sagen Ihnen, wo die Grenze liegt.