DNS-Amplification
DDoS-Technik — kleine DNS-Anfragen mit gefälschter Quelladresse an die IP des Opfers schicken; der offene Resolver antwortet mit GROSSEN Responses ans Opfer. 50–100× Verstärkung.
Klassische Variante: eine ANY-Anfrage gegen eine Zone mit vielen Records ⇒ ~4 KB Antwort aus einer ~50-Byte-Frage. Der Spamhaus-Angriff (2013) erreichte damit 300 Gbps. BCP 38 (Ingress-Filtering) würde Spoofing verhindern, die Verbreitung ist aber gering. Betreiber sollten keine offenen Resolver betreiben — stattdessen Response Rate Limiting (RRL), DNSSEC-Validierung oder QNAME-basierte ACLs einsetzen. Verwandte Techniken: NTP-Amp (Faktor ~550 — die schlimmste Variante), Memcached-Amp (~50.000 — GitHub, 1,35 Tbps, 2018), SSDP-Amp.