этот ответ-это не ответ и даже не вопрос. Ответ, приведенный выше, заключается в том, как написать правило, чтобы блокировать весь доступ к серверу или рабочей станции, блокируя ip-адрес в брандмауэре и вообще не адресует dns-имя, и, следовательно, не решает фактический вопрос.
мои исследования привели меня к тому, что если вы используете 2016 DNS, Вы можете сделать это с помощью политики запросов dns, но не с любой предыдущей версией.
основная причина, по которой можно хотеть это поддельные пакеты UDP BS, поражающие серверы MS dns по всему миру, поэтому ограничение скорости ответа также поможет, но снова доступно только в 2016 году (хотя Bind имел его в течение многих лет и лет)
существует также список блокировки запросов, но это, вероятно, работает только на рекурсивные поиски и ничего не делает для поддельных запросов для NXDomains на авторитетных dns-серверах, как я написал эти блоки и запросы все еще приходят.
лучший способ, который я нашел для борьбы с этим #1 Убедитесь, что recursives отключены, #2 Возвращение ответ nxdomain убедившись, что ваша точка зоны (.) не имеет записей, включая записи сервера имен. Это возвратит самый маленький пакет в ответ, и усилительная часть атаки в основном обнулена.
Komp
2679
