La riflessione-amplificazione è una tecnica DDoS che abusa di server di terze parti per inviare volumi di traffico molto maggiori a una vittima. Un attaccante invia piccole richieste con un indirizzo sorgente falsificato impostato sul target, e servizi esposti come DNS, NTP o altri responder basati su UDP rispondono a quell'indirizzo contraffatto. Poiché le risposte sono più grandi delle richieste originali, l'attaccante moltiplica il traffico senza bisogno di una larghezza di banda equivalente.
Questo è importante perché consente a un attaccante di nascondersi dietro sistemi riflessi e generare flood più difficili da tracciare e più costosi da assorbire. I difensori spesso vedono molte sorgenti, alti tassi di pacchetti e pattern di traffico asimmetrici invece di un singolo mittente evidente. Le mitigazioni includono la validazione degli indirizzi sorgente, la disattivazione dei reflector aperti, il rate limiting, il filtraggio dei protocolli di amplificazione comuni e l'uso di protezione DDoS a monte in grado di rilevare e assorbire il picco. Negli attacchi reali, la riflessione-amplificazione viene spesso affiancata allo spoofing per intensificarne l'impatto; in difesa, è un pattern chiave da modellare durante test DDoS controllati e da bloccare al bordo della rete.