名前解決を狂わされると何が起きるのかを、キャッシュポイズニングの仕組みから解説。オープンリゾルバが増幅型 DDoS の踏み台になる理由、DNSSEC が保証するもの、サブドメインの乗っ取りまで整理します。
DNS は、名前を IP アドレスに変える仕組みです。地味に見えますが、ここを狂わされると、その先でどれだけ暗号化しても意味がありません。利用者は正しい名前を入力しているのに、まったく別のサーバへ繋がってしまうからです。攻撃される側にも、加害者側にされる側にも回りうるのが DNS の特徴です。
| 種類 | 役割 | 外部から使わせるか |
|---|---|---|
| 権威 DNS サーバ | 自組織のドメインの情報を答える | 使わせる（誰からの問い合わせにも答える） |
| キャッシュ DNS サーバ | 利用者に代わって名前解決を行う | 使わせない（内部からのみ） |
役割が違うので、本来は分けて運用します。一台に両方をやらせると、外部へ公開する必要がある権威側に引きずられて、キャッシュ側まで外部から使えてしまう、という事故が起きます。
キャッシュ DNS サーバは、一度引いた結果をしばらく覚えています。ここに偽の対応を入れられると、その期間中、そのサーバを使う利用者全員が攻撃者のサーバへ誘導されます。一人ずつ騙すのではなく、まとめて向き先を変えられる点が厄介です。
対策は三つの方向があります。第一に、応答が本物かを署名で確かめる（DNSSEC）。第二に、偽の応答を紛れ込ませにくくする（送信元ポートのランダム化、問い合わせ ID の予測困難化）。第三に、そもそも外部からの問い合わせを受け付けない構成にする（権威とキャッシュの分離）。どれか一つではなく、組み合わせて使います。
DNSSEC は、応答に付いた電子署名を検証することで、その応答が正当な作成元から来ており、途中で改ざんされていないことを確かめます。保証するのは完全性と真正性です。暗号化はしないので、誰がどの名前を引いたかは経路上から見えます。通信内容を隠したいなら DoH や DoT を使う——目的が違うので、混同しないようにします。
外部の誰からでも再帰問い合わせを受け付ける状態を、オープンリゾルバといいます。この状態のサーバは、増幅型 DDoS の踏み台にされます。攻撃者は送信元アドレスを標的のものに詐称して問い合わせを送り、応答が標的へ届くようにします。DNS は要求より応答が大きくなるため、少ない通信量で大きな攻撃を作れてしまいます。
# キャッシュ DNS サーバの設定（考え方）
allow_recursion = any # 誰からでも受け付ける＝オープンリゾルバ
allow_recursion = internal # 自組織の内部からだけ受け付ける
自組織が被害を受けるのではなく、他所への攻撃に使われる点が特徴です。気づきにくく、気づいたときには自組織の回線が飽和していたり、外部から苦情が来ていたりします。設定を確かめて閉じておくこと、そして送信元の詐称を通さない設定（送信元検証）を経路側で行うことが対策になります。
見落とされやすいのが、使わなくなったサブドメインの DNS レコードです。クラウド上の資源を解放したあとも名前だけが残っていると、その向き先を第三者に取得され、自組織のドメインで偽サイトを動かされることがあります（サブドメインテイクオーバー）。利用者から見れば正規のドメインなので、疑われにくく被害が大きくなります。資源を止めるときは、DNS レコードの削除まで手順に含めます。
DNS のログは、侵入後の動きを見つける材料としても価値があります。マルウェアが外部の指令サーバへ接続しようとするとき、その前にほぼ必ず名前解決が行われるためです。通信そのものが暗号化されていても、どの名前を引いたかは記録に残ります。見知らぬ名前への問い合わせが特定の端末から繰り返されている、といった形で気づけます。
もう一つ、DNS の問い合わせを使って情報を少しずつ外へ運び出す手口が知られています。長く不規則な名前への問い合わせが大量に出ていないか、応答が返らない問い合わせが続いていないかを見ておきます。通常の業務では出ない形の問い合わせなので、量と長さを監視していれば検知できます。
午前Ⅱでは、DNSSEC が何を保証するか（暗号化ではない）、オープンリゾルバの意味、キャッシュポイズニングの対策が問われます。午後では、DNS の設定や問い合わせのログを示して「なぜ踏み台にされたか」「どう直すか」を書かせる形が出ます。「自組織が加害者側になる」という視点は、DDoS 対策の設問でも繰り返し現れます。
IPA 公式 PDF：令和5年度 秋期 午前Ⅱ問題（DNSSEC が出題されています） ↗本文はこの公式 PDF でご覧ください（アプリ内には転載していません）。