La amplificación DNS es un ataque de reflexión: el atacante falsifica la IP de la víctima y envía pequeñas consultas DNS a resolvers abiertos. El resolver envía una respuesta DNS grande — a veces 70 veces mayor — directamente a la víctima. Multiplícalo por 100.000 resolvers abiertos y tienes un ataque a escala de terabits.
La aritmética de la amplificación
Aritmética del ataque
Una consulta DNS de 40 bytes para una zona grande firmada con DNSSEC puede producir una respuesta de 4.096 bytes — un factor de amplificación de 100x. Con 50.000 resolvers abiertos enviando a la vez, un atacante de 1 Gbps genera 100 Gbps de tráfico entrante en la víctima.
Por qué siguen existiendo resolvers abiertos
- Routers domésticos y equipos de ISP mal configurados.
- Servidores DNS antiguos dejados abiertos por 'comodidad'.
- Instancias en la nube lanzadas sin reglas de firewall.
- Se estiman más de 5 millones de resolvers abiertos aún accesibles en 2025.
Lo que ve el objetivo
Todo el tráfico parece venir de servidores DNS legítimos — IPs imposibles de poner en lista negra globalmente. El límite de tasa estándar y las listas de bloqueo por IP fallan. Solo una capa de filtrado capaz de distinguir respuestas DNS legítimas del tráfico de reflexión puede detener el ataque de forma eficaz.
Dónde ayuda Akarguard y dónde no
- La amplificación DNS es una avalancha de capa de red (L3/L4); el tráfico UDP/53 en bruto debe descartarse aguas arriba, en la red de tu host o proveedor de tránsito — no por un proxy inverso HTTP.
- Pregunta a tu proveedor si aplica validación de dirección de origen BCP38 y puede filtrar la reflexión UDP en el borde de su red.
- Tras Akarguard tu IP de origen está oculta, así que una avalancha dirigida a tu servidor no tiene objetivo directo.
- Akarguard filtra los ataques de capa de aplicación (L7) que llegan a tu sitio; no es un scrubber volumétrico de UDP ni pretende serlo.