Comprobar la seguridad del servidor DNS frente a ataques de amplificación

Información válida para: servidores con derechos de administración

Este artículo te ayudará a comprobar si tu servidor es actualmente vulnerable a los ataques de amplificación de DNS y a corregir esta vulnerabilidad.

Esta vulnerabilidad permite a los atacantes utilizar las capacidades de tu servidor DNS para llevar a cabo un ataque de intermediario (man in the middle attack) para colapsar otro servidor mediante el envío masivo de tráfico.

A tener en cuenta: para que la prueba se realice correctamente, no debes hacerla en el propio servidor. En su lugar, utiliza una computadora con una conexión a Internet, por ejemplo, tu PC doméstico.

Comprobación en Windows

Debes enviar una petición DNS a su servidor con el fin de probar la vulnerabilidad, para ello, manten presionada la tecla de Windows + r para abrir el cuadro de diálogo Ejecutar.
En el cuadro de texto, escribe el comando cmd para abrir la terminal del sistema de Windows y luego haz clic en el botón OK.
Para probar la vulnerabilidad, vamos a pedir al servidor un registro DNS que no debería tener. Si el servidor devuelve un resultado, entonces tu servidor accedió a la información de otro servidor DNS y está expuesto a esta vulnerabilidad. Si no devuelve ningún resultado, entonces no debes tomar más medidas, ya que tu servidor solo devuelve registros DNS que agregaste de forma manual para su configuración.
En la terminal del sistema, escribe:
nslookup ionos.mx 74.208.111.111
Por favor, modifica la dirección IP en el ejemplo con la dirección IP de tu servidor.
Si recibes una respuesta negativa a la conexión con ionos.mx entonces esta vulnerabilidad no te afecta. O bien el servidor ya está configurado correctamente o en el servidor no se ejecuta ningún servicio de DNS. Puede ignorar los pasos restantes.
Si recibes la respuesta de “Non-authoritative answer” con información adicional por debajo, entonces esta vulnerabilidad te afecta. Ejemplo:
Non-authoritative answer:
Name: www.ionos.mx
Address: 212.227.17.105
En ese caso debes ajustar la configuración de DNS y corregir la vulnerabilidad.

Comprobación en Linux o Mac OS

Abre un terminal (consola).
Introduce el comando host www.ionos.mx [dirección IP de tu servidor raíz], por ejemplo:
host www.ionos.mx 123.123.12.123
Si recibes la respuesta
>www.ionos.mx has address 212.227.17.105
esto significa que tu servidor responde a la petición y es vulnerable a los ataques de amplificación. En ese caso debes ajustar la configuración de DNS y corregir la vulnerabilidad.
Si la respuesta es
Host www.ionos.mx not found: 5(REFUSED)
no tienes que hacer nada más porque tu DNS se niega a responder a la solicitud.