TCP Port 53 - 24,000 Packets Dropped in 3hrs - Network Down

The Anti-DoS/Flooding features are your friends and the defaults allow a good bit of headroom to keep from denying valid traffic, but can be adjusted to your environment.
 
I just took a look and SANS saw a huge spike in the amount of port 53 traffic over the last few days. This has to do with a change that took effect on the 5th, with the last of the internet Root DNS servers switching over to DNSSEC. Previously the recommendation was to block DNS packets greater than 512kb because valid DNS requests or replys were smaller than this. With DNSSEC, valid packets can be larger than this value, so the new recommendation is to remove these filters. There's a thread about this at https://community.sophos.com/products/unified-threat-management/astaroorg/f/54/t/39660. I think the baddies will try to exploit this by sending packets with payloads larger than 512kb for awhile, but this is just personal opinion.

Hey Scott,

Thanks again for your advice. So if I understand well, the DNS flooding problem was due to the introduction of "DNSSEC" carried on the 5th May 2010? No actions have to be taken?

Cheers,
Frenchie

Hi,
did you have an restart. I get those figures every time I do a restart. Makes the security report useless for the rest of the day.

Ian M

Hi,
did you have an restart. I get those figures every time I do a restart. Makes the security report useless for the rest of the day.

Ian M