Sì!
Se il tuo server è un server ricorsivo, blocca TUTTE le query da fonti sconosciute / non attendibili, indipendentemente dalla porta sorgente. Dovresti anche bloccare le query, anche da fonti attendibili, con una porta di origine 53.
Se il tuo server è un server autorevole, sì, dovresti comunque bloccare le query con una porta sorgente di 53.
In effetti, dovresti bloccare le query con qualsiasi porta di origine privilegiata e persino alcune porte di origine non privilegiate. Ad esempio, 5060 (SIP) è anche una buona porta sorgente da bloccare.
Ecco perché:
Il tuo server invierà la sua risposta all'IP sorgente e alla porta. A causa della natura dell'UDP, entrambi possono essere falsificati.
In un attacco DDoS sul server dei nomi di terze parti, l'utente malintenzionato può falsificare l'IP della vittima e la porta (DNS) del servizio vittima (UDP 53) e inviare una query al server. Il tuo server invierà la (molto più grande) risposta al server delle vittime e involontariamente diventerà un'arma nell'attacco DDoS stesso.
La stragrande maggioranza dei nameserver invia query da una porta di origine non privilegiata a caso. Il semplice fatto che una query provenga da UDP 53 è di per sé un strong indicatore del fatto che sia dannoso.
Il blocco in questo modo non farà molto per proteggere il tuo server dall'essere vittima di un DDoS, ma aiuterà a proteggere il tuo server dall'essere utilizzato per aiutare a perpetrare un DDoS