Die Endbenutzer eines Unternehmens berichten, dass sie externe Websites nicht erreichen können. Nach Überprüfung der Leistungsdaten der DNS-Server stellt der Analyst fest, dass die CPU-, Festplatten- und Speicherauslastung minimal ist, die Netzwerkschnittstelle jedoch mit eingehendem Datenverkehr überflutet wird. Die Netzwerkprotokolle zeigen nur eine geringe Anzahl von DNS-Abfragen, die an diesen Server gesendet wurden. Was beschreibt am besten, was der Sicherheitsanalyst sieht?

Die korrekte Antwort ist Reflected Denial of Service. Hierbei wird ein Dienst (in diesem Fall DNS) missbraucht, um eine große Menge an Datenverkehr an ein Opfer zu senden. Angreifer senden Anfragen an legitime Server (hier die DNS-Server des Unternehmens) und fälschen dabei die Quell-IP-Adresse, sodass sie der des eigentlichen Opfers entspricht. Die Server antworten dann an das Opfer, was zu einer Überflutung der Netzwerkschnittstelle des Opfers führt. Die geringe Anzahl der gesendeten DNS-Abfragen im Vergleich zum hohen eingehenden Datenverkehr auf der Netzwerkschnittstelle des DNS-Servers deutet darauf hin, dass der Server als Reflektor missbraucht wird. Gleichzeitige Sitzungsnutzung (Concurrent Session Usage) würde eine hohe Anzahl von aktiven Sitzungen auf dem Server bedeuten, was hier nicht der Fall ist. Kryptografische Herabstufung von Secure DNS (Cryptographic Downgrade of Secure DNS) bezieht sich auf Angriffe, die die Verschlüsselung von DNS-Kommunikation schwächen, und erklärt nicht die Überflutung der Netzwerkschnittstelle. On-Path-Ressourcenverbrauch (On-Path Resource Consumption) beschreibt, wie ein Angreifer Ressourcen auf dem Kommunikationspfad verbraucht, was nicht direkt die beobachtete Reflektionsdynamik erklärt.