SKYCLOUD | 【DDoS攻擊】DNS洪水攻擊是什麼？

DNS洪水攻擊是一種利用DNS查詢機制，大量且不斷發起無意義的DNS查詢請求，導致DNS無法回應正常使用者的查詢請求而使域名解析失敗，造成的 DDoS 阻斷服務的惡意洪水攻擊手法。

DNS洪水攻擊是什麼

　DNS洪水攻擊(DNS Flood Attack) 是一種 DDoS攻擊的手法，攻擊者會操控多個不同且虛假的 IP 向 DNS 伺服器發起查詢請求，這些隨機且無效的 DNS 查詢封包，會佔用頻寬並消耗伺服器資源，進而癱瘓網站或系統服務，讓正常使用者無法向 DNS 發起正常的連線查詢。

　這類攻擊通常使用殭屍網路(Botnet) 大規模產生請求，意圖癱瘓目標的網路基礎設施。

　DNS 在正常的操作下，當使用者嘗試造訪網站時，電腦會聯絡 DNS 伺服器，將網域切換成電腦可以理解的數字位址，也就是來源 IP 位址；而當攻擊者攻擊 DNS時，攻擊者會向 DNS 伺服器發出大量不存在或無效的網站位址請求。

　DNS洪水攻擊原理，是透過發送大量惡意的 DNS 查詢請求，不斷消耗目標 DNS 伺服器資源，使其無法回應正常使用者的查詢請求，導致域名解析失敗，進而造成 DDoS 阻斷服務的目的。

因此，當成千上萬筆查詢同時湧入，就會消耗CPU資源(處理封包)、記憶體資源(維護查詢狀態) 和頻寬資源(傳送回應封包)。

攻擊查詢內容會導致快取無法命中
攻擊者會查詢大量隨機子域名或不存在的域名，這些查詢每筆都需要實際處理，無法重複利用快取結果，加重伺服器負擔，這種手法稱為「快取穿透(Cache Bypass)」。

使用殭屍網路大量發送查詢
為了製造大量請求，攻擊者會利用被感染的裝置組成殭屍網路 Botnet，從全球數千台設備同時發起查詢，導致攻擊來源分散，難以攔截。

　DNS 洪水攻擊的原理在於，大量查詢請求消耗資源 + 快取穿透 + UDP 無連線機制 + 多來源混淆，這些組合使得攻擊不易辨識、防禦門檻高，一旦成功可造成整個網站無法解析，服務全面中斷。

　以下我們用一些簡單的攻擊情境來比喻 DNS 洪水攻擊，讓讀者可以更容易理解。

DNS 伺服器是一間圖書館櫃台，用來回答大家書本放在哪裡 (就像使用者問 DNS：「某某某.com 的 IP 是多少？」)。

現在，有一群惡意人士(攻擊者) 來櫃台排隊，不斷亂問從來沒聽過的書本名稱，這些書本根本不存在，但是圖書館管理員還是得一筆一筆查詢，但由於這些人太多、問題都很奇怪，導致櫃台忙得不可開交，真正想找書的人(正常用戶) 根本排不到隊並且無法得到正常的服務，讓整間圖書館都陷入停擺。

DNS洪水攻擊就像這些攻擊者亂問問題，讓管理員仍須一筆一筆的查找，最終導致服務停擺與阻斷。

DNS 伺服器是一家公司的電話客服中心，一般人打電話去查詢資料(例如某個網站的 IP )客服就會告訴你答案。

而 DNS洪水攻擊，就像有成千上萬的人(殭屍網路) 打來客服，全部的人都問一些根本沒資料的問題(例如亂編的網站名稱)，甚至很多來電還是偽造的來電號碼(IP 偽造)，客服人員忙到沒辦法接真正客戶的電話，公司因此無法對外正常服務，導致客服陷入停擺、服務阻斷。

　DNS 洪水攻擊會透過大量惡意查詢來耗盡 DNS伺服器的資源，導致服務中斷，因此防禦的重點就在於識別異常流量、限制查詢速率、分散附載與清洗惡意請求...這幾個要點。

　DNS 洪水攻擊透過大量惡意查詢封包，迅速消耗伺服器資源，使網路服務陷入癱瘓。

　面對此類攻擊，企業與系統管理者應採取多層次防禦策略，包括速率限制、快取優化、Anycast 架構、異常流量偵測與導入 DDoS 清洗服務...等，透過主動監控與結構性防禦，可大幅降低攻擊風險，保障網路服務穩定與可用性。