DNS攻撃：10種類のDNS攻撃とその実例

DNS攻撃とは、ドメインネームシステム（DNS）を標的とする、あるいはDNSを悪用してユーザーをリダイレクトしたり、データを盗み出したり、サービスを停止させたりするあらゆる攻撃を指します。ウェブサイトの閲覧や電子メールの配信はすべてDNSルックアップに依存しているため、DNSインフラは魅力的な標的となっています。従来のDNSは、すべての応答の送信元を本質的に認証するものではないため、攻撃者は解決処理、ドメイン管理、ネットワーク設定の脆弱性を悪用して、サービスを妨害したり、ユーザーを欺いたりすることが可能です。DNS攻撃には、標的となる対象、攻撃者の目的、および防止策に基づいて、いくつかの種類があります。このブログでは、さまざまなDNS攻撃の種類と、それらを軽減する方法について解説します。

DNS攻撃とは何ですか？

DNS攻撃とは、ドメインネームシステム（DNS）を標的とする、あるいはその正常な機能を悪用して、ネットワークサービスの可用性、完全性、または機密性を損なうサイバー攻撃のことです。ドメインネームシステム（DNS）はは、ドメイン名を、システムがウェブサイト、メールサーバー、その他のインターネットサービスを見つけるために使用するIPアドレスなどの情報に変換するものです。

DNSを悪用した攻撃は、一般的に以下の3つの方法で実行されます：

トラフィックをリダイレクトする。攻撃者は、DNS応答を偽造したり、DNS設定を乗っ取ったり、ドメインレコードを改ざんしたりして、ユーザーを意図しない宛先に誘導する。DNSスプーフィングやDNSハイジャックなどがその例である。
DNSを通信経路や攻撃手段として悪用する。DNSトンネリングでは、DNSクエリやレスポンスの中に、不正な通信や盗まれたデータを隠して送信することができる。DNS増幅攻撃では、DNSインフラを利用して、被害者に向けられるトラフィックの量を増大させる。
DNSサービスを機能不全に陥らせる。フラッド攻撃は、過剰なクエリを送りつけてサーバーのリソースを枯渇させる。NXDOMAIN攻撃は、存在しない名前に対するリクエストを利用して、繰り返しルックアップを強制し、DNSインフラに負荷をかける。

これらの手法は、再帰的リゾルバー、権威ネームサーバー、個々のデバイス、ドメイン登録事業者、あるいはそれらを接続するネットワークに影響を及ぼす可能性があります。

多くの攻撃は、不十分なアクセス制御、公開されたDNSサービス、セキュリティ検証の欠如といった既存の脆弱性によって成功しています。

DNS攻撃の種類の一覧

以下のDNS攻撃の一覧では、各手法、その標的、攻撃者の目的、および関連するセキュリティ対策についてまとめています。

攻撃タイプ	対象となるもの	攻撃側のゴール	主な防御手段
1. DNSスプーフィングおよびキャッシュポイズニング	リゾルバーの応答とキャッシュ	ユーザーをリダイレクトする	DNSSECの検証
2. DNSハイジャック	デバイス、ルーター、またはドメインの設定	トラフィックの行き先を変更する	MFAおよびレジストラロック
3. DNSトンネリング	DNSのクエリと応答	通信を隠蔽したり、データを盗み出したりする	DNSの監視とフィルタリング
4. DNS増幅攻撃	公開されているDNSリゾルバー	攻撃トラフィックを増大させる	再帰の制限とレート制限
5. DNSフラッド攻撃	DNSサーバーの処理能力	「Disrupt」の決議	DDoSの緩和
6. NXDOMAIN および「水責め」攻撃	DNS検索リソース	サーバー容量の限界	クエリのフィルタリングとレート制限
7. サブドメインの乗っ取り	放棄されたDNS宛先	信頼されたサブドメインを管理する	未処理のレコードを削除する
8. オンパスDNS攻撃	中継中のDNSトラフィック	クエリを傍受または変更する	暗号化されたDNS転送
9. DNSリバインディング	ローカルネットワークへのブラウザ経由のアクセス	社内サービスにアクセスする	ネットワークの分離とブラウザの制御
10. タイポスクワッティングおよび類似ドメイン	ユーザーとブランドアイデンティティ	認証情報を盗む、または詐欺を助長する	ドメイン監視

DNS攻撃の10の代表的な種類

DNS攻撃は、その手法や標的がさまざまです。リゾルバーが返す応答を改ざんするものもあれば、ドメイン管理を乗っ取ったり、悪意のあるトラフィックを隠蔽したり、インフラを飽和状態に追い込んだりするものもあります。各攻撃の仕組みを理解することで、セキュリティチームは適切な警告サインを見極めることができます。

1. DNSスプーフィングとキャッシュポイズニング

DNSスプーフィングとは、攻撃者が偽のDNS情報を提供して、クエリを誤った先へ誘導する行為のことです。DNSキャッシュポイズニングは、これに関連する手法であり、再帰型リゾルバーが偽造されたDNS応答を受け入れて保存するものです。そのキャッシュされた応答を信頼している他のユーザーは、レコードの有効期限が切れるか、キャッシュがクリアされるまで、攻撃者が制御するIPアドレスへ誘導されてしまう可能性があります。

仕組み：

リゾルバーは、ドメインを検索するリクエストを受け取ります。
攻撃者は、保留中のクエリと一致しているように見える偽の応答を注入しようと試みます。
リゾルバーが偽造された応答を受け入れた場合、誤ったレコードがキャッシュされる可能性があります。
その後のクエリでは、正当なアドレスの代わりに悪意のあるアドレスが返される可能性があります。

攻撃者は、このリダイレクトを利用して、本物そっくりのウェブサイトのコピーをホストしたり、認証情報を収集したり、機密情報を傍受したりする可能性があります。共有リゾルバーが侵害された場合、ポイズニング攻撃が成功すると、複数のユーザーに影響が及ぶ可能性があります。

見分ける方法: リゾルバーが、想定される権威DNSデータと一致しないIPアドレスを返した場合は、調査を行ってください。

詳細はこちら DNSスプーフィングおよび DNSポイズニングについてさらに詳しく読み、 DNSSEC が、関連するレコードが正しく署名され、検証が有効になっている場合に、検証を行うリゾルバーが偽造されたDNSデータを拒否するのにどのように役立つかを学びます。（注： DNSSECは、あらゆる形態のDNS攻撃から保護するものではありません）

2. DNSハイジャック（およびその4つの種類）

DNSハイジャックとは、攻撃者がDNSの解決処理やドメイン設定を乗っ取り、クエリの行き先を変更する行為を指します。リゾルバーのキャッシュに偽の応答を注入する「キャッシュポイズニング」とは異なり、ハイジャックでは、解決処理を担当するデバイス、ルーター、DNSサービス、またはドメイン管理アカウントが侵害されることが多くあります。

一般的な形式は4つあります：

ローカルハイジャック：マルウェアがコンピュータやその他のデバイスのDNS設定を変更し、そのクエリが攻撃者が制御するリゾルバーを経由するように仕向ける。
ルーターの乗っ取り：攻撃者がルーターを乗っ取り、そのDNS設定を変更することで、接続されている複数のデバイスに影響を及ぼす可能性があります。
中間者攻撃：攻撃者が転送中のDNSクエリを傍受し、応答がリクエスト元のデバイスに届く前にその内容を改ざんしようと試みる。
不正なDNSサーバーまたはレジストラの乗っ取り：攻撃者が、侵害されたDNSプロバイダーまたはレジストラのアカウントを通じて、ドメインネームサーバーの委任設定やDNSレコードを変更する。

仕組み：攻撃者はこれらの制御ポイントのいずれかにアクセスし、DNSの宛先や応答経路を変更して、ユーザーを自身が制御するインフラへと誘導します。その結果生じるリダイレクトは、フィッシング、認証情報の窃取、マルウェアの配布、あるいはサービスの妨害に悪用される可能性があります。

攻撃者が得るもの：影響を受けたユーザーがどこに転送されるかを制御できるほか、認証情報、機密情報、あるいは業務トラフィックへのアクセスが可能になる可能性がある。

見分け方：予期せぬNSレコードやAレコードの変更、デバイスやルーターに設定された見慣れないDNSサーバー、および正当な活動では説明できない証明書の発行がないか確認してください。証明書の発行だけではハイジャックの証拠にはなりませんが、調査が必要となる可能性があります。

3. DNSトンネリング

DNSトンネリングは、通常のDNS検索ではないデータや通信を、DNSクエリやレスポンスを利用して伝送する手法です。攻撃者はこの手法を用いて、通常のネットワークトラフィックに紛れ込みながら、コマンド＆コントロールチャネルを確立したり、盗んだ情報を転送したり、侵害されたシステムと通信したりすることができます。

仕組み：データは、多くの場合サブドメインやTXTレコードを使用して、ドメイン名やDNSレコードのフィールドにエンコードされます。攻撃者が制御するシステムがクエリを受信し、送信された情報を復元します。実装によっては、このトンネルは双方向通信に対応する場合があります。

DNSはネットワークセキュリティ対策において許可されることが多いため、組織がDNSトラフィックのパターンを監視していない場合、悪意のあるトンネリングが見過ごされてしまう可能性があります。ただし、DNSトンネリングが必ずしも悪意のあるものとは限りません。一部の正当なセキュリティツールやネットワークツールも、DNSを利用した通信を行っています。

攻撃者が得るもの：遠隔操作、データの持ち出し、または侵害されたシステムとの通信を行うための隠蔽チャネル。

見分け方：異常に長い、あるいはエントロピーの高いサブドメインへのクエリ、見慣れないドメインへの繰り返しのクエリ、あるいは通常の業務活動とは一致しない大量のTXTリクエストがないか確認してください。

DNSセキュリティ監視これにより、すべての異常なクエリを攻撃とみなすことなく、不審なパターンを特定することができます。

4. DNS増幅攻撃

DNS増幅攻撃は、DNSサーバーを悪用して被害者に対して大量のトラフィックを送信する、分散型サービス拒否（DDoS）攻撃の一種です。通常、任意の送信元からのリクエストに応答する、一般に公開されている再帰型リゾルバーを悪用します。

仕組み：

攻撃者は、受信したクエリよりも大きな応答を生成するために悪用できるDNSサーバーを特定する。
攻撃者は、パケット内に被害者の送信元IPアドレスを偽装したDNSリクエストを送信する。
DNSサーバーは、攻撃者ではなく被害者に対して応答を送信します。
これらの攻撃が組み合わさることで、被害者のネットワーク帯域幅を消費し、サービスが利用できなくなる可能性があります。

これは、サードパーティのDNSサーバーがトラフィックを送信することから「リフレクション」と呼ばれ、さらに「増幅」も伴う。何しろ、応答がリクエストよりも大きくなる可能性があるからだ。この攻撃は、ウェブサイト、ネットワーク回線、およびその他のインターネットに公開されているサービスに影響を及ぼす可能性がある。

攻撃者が得るもの：自身のインフラからすべてのパケットを直接送信することなく、妨害トラフィックを生成する方法。

見分け方：DNS関連の受信トラフィックに予期せぬ急増が見られないか、複数のDNSサーバーからの異常なトラフィックがないか、また、サービスの品質低下と時期が一致するネットワークの飽和状態がないかを監視してください。

根本的な弱点は、以下の可能性がある。 DNSの脆弱性であり、これにより無制限の再帰クエリが可能となっています。

5. DNSフラッド攻撃

DNSフラッド攻撃は、大量のクエリをDNSインフラに送りつけ、処理能力やネットワークリソースを枯渇させるものです。攻撃者は、乗っ取られたデバイスで構成されるボットネットを利用して、標的のDNSサービスが処理しきれないほどのトラフィックを発生させることがあります。

仕組み：侵害されたデバイスが、標的となったDNSサービスに対して大量のクエリを送信します。受信トラフィックがサービスの処理能力を超えると、正当なクエリの処理が遅延したり、破棄されたり、応答されなくなったりする可能性があります。その結果、ユーザーは、影響を受けたDNSインフラに依存しているウェブサイトやアプリケーションにアクセスできなくなる可能性があります。

すべてのDNSフラッドが同じクエリパターンを用いるわけではありません。一見普通に見えるリクエストを大量に送信して権威ネームサーバーを標的とするものもあれば、ランダムなサブドメインを利用したり、リフレクションや増幅を悪用したりするものもあります。

攻撃者が得るもの：サービスの混乱、可用性の喪失、そして場合によっては、他の悪意のある活動から注意をそらすこと。

見分け方：1秒あたりのクエリ数が急増していないか、応答遅延が長くなっていないか、リクエストの失墜が発生していないか、あるいは分散したソースからのトラフィックが持続的に増加していないかを確認してください。

DNSフラッド、増幅攻撃、NXDOMAIN攻撃は、いずれもDNS関連の DDoS攻撃の一因となり得ますが、トラフィックのパターンやメカニズムはそれぞれ異なります。ダイレクト・フラッドはクエリでサービスを飽和させ、増幅攻撃は被害者に対してより大規模な応答を反射させ、NXDOMAINフラッドは存在しないホスト名を繰り返し要求します。

6. NXDOMAIN およびランダムサブドメイン（ウォーター・トーチャー）攻撃

NXDOMAIN攻撃は、存在しないドメイン名やサブドメインに対するリクエストを送信することで、DNSインフラを標的とします。「ランダムサブドメイン攻撃」または「DNSウォーター・トーチャー」と呼ばれる一般的な亜種では、予測不可能な多数のサブドメイン名を生成することで、応答がすでにキャッシュされている可能性を低減させます。

仕組み：

攻撃者は、標的となるドメインの下に、多数のランダムなサブドメインを生成する。
ボットネットやその他のトラフィック源が、それらの名前に対するクエリを送信します。
名前が新規のものや存在しないものであるため、再帰的リゾルバーはリクエストを権威ネームサーバーに転送する必要がある場合があります。
繰り返し行われる検索はサーバーのリソースを消費し、正当なDNS応答の遅延を招く可能性があります。

この攻撃は、クエリのパターンが通常のキャッシュを迂回する場合に特に効果的です。その結果返される NXDOMAIN レスポンスは、単にリクエストされた名前が存在しないことを示すだけです。レスポンスそのものは攻撃の証拠にはなりませんが、懸念されるのは、そのようなリクエストの量が異常に多い場合や、そのパターンが異常な場合です。

攻撃者が得るもの：正当なDNSレコードを変更することなく、DNS解決機能を低下させたり中断させたりする能力。

見分け方：NXDOMAIN応答の急激な増加、固有のサブドメインに対する異常に高いクエリ率、および権威ネームサーバーへの負荷の増加を調査してください。

7. サブドメインの乗っ取り

A サブドメイン乗っ取りとは、ドメインのDNS設定が依然として指し示している外部サービスやリソースを、攻撃者が乗っ取ることを指します。これは、クラウド上でホストされているアプリケーション、ウェブサイト、またはサードパーティのサービスが廃止されたにもかかわらず、そのDNSレコードがそのまま残っている場合に、よく発生します。

仕組み：

サブドメインには、サードパーティのサービスを指すDNSレコード（多くの場合、CNAME）が設定されています。
そのサービスまたはリソースが削除され、DNSの宛先が未割り当ての状態になります。
攻撃者は、未割り当てのリソースを特定し、関連するプロバイダーを通じてそのリソースを登録またはプロビジョニングする。
攻撃者は、組織のサブドメインの下でコンテンツを配信し、信頼されているドメイン名を利用することで、悪意のある活動を正当なものに見せかける可能性があります。

攻撃者が得るもの：信頼されたサブドメインの下で、不正なコンテンツをホストする能力。サービスやアプリケーションによっては、フィッシングやマルウェアの配布、あるいはその組織を信頼しているユーザーに対する攻撃が可能になる。

見分け方：もはや存在しないサービスを指しているDNSレコード、稼働中のサブドメインに表示されるプロバイダーのエラーページ、あるいは企業が管理するホスト名を通じて配信されている予期せぬコンテンツがないか確認してください。

A 2021年のUSENIXセキュリティ調査において、Squarcina氏らによる調査で、Trancoリストの上位50,000件に含まれる887のドメインに属する1,520のサブドメインに、乗っ取りの脆弱性が発見されました。これは調査結果であり、上位50,000件のドメイン全体の15％が脆弱であったという証拠ではありません。同論文では、調査対象となった脆弱なサブドメインの主な原因として、サービス提供が終了したサードパーティ製サービスが特定されました。

8. マン・イン・ザ・ミドル（オンパス）DNS攻撃

A 中間者攻撃は、攻撃者がデバイスとそのDNSリゾルバー間の通信を傍受したり妨害したりできる場合に発生します。悪意のある公衆Wi-Fiホットスポットなど、信頼できない、あるいは侵害されたネットワーク上では、攻撃者が暗号化されていないDNSクエリを傍受したり、応答を改ざんしたりしようとする可能性があります。

仕組み： あるデバイスがネットワーク接続を介してDNSクエリを送信します。攻撃者が通信経路上に位置取りできれば、要求されたドメインを傍受したり、応答がデバイスに到達する前に改ざんを試みたりする可能性があります。攻撃が成功するかどうかは、ネットワーク上の位置、通信プロトコル、および使用されている検証メカニズムによって異なります。

攻撃者が得るもの：DNS アクティビティを把握できる可能性、ユーザーをリダイレクトする機会、あるいは他の攻撃を支援するのに役立つ情報。

見分け方：特定のネットワーク上で予期しないDNS応答が発生していないか、リダイレクトの問題が繰り返し発生していないか、あるいはデバイスが特定のアクセスポイントを介して接続したときにのみ発生する不審な変化がないかを確認してください。

MTA-STSの MTA-STS を使用すると、クライアントとそのリゾルバー間の電子メール通信が暗号化され、経路上での傍受や改ざんの機会が減少します。ただし、DNS解決プロセスのすべての部分を保護するわけではありません。

9. DNSリバインディング

DNSリバインディングとは、ブラウザとDNS解決の相互作用を悪用し、公開Webサイトのオリジンを被害者のローカルネットワーク上のシステムと通信させる攻撃です。攻撃者はドメインを乗っ取り、そのDNS応答で返されるIPアドレスを変更することで、ブラウザが最初に公開アドレスに接続した後、プライベートアドレスや内部アドレスに接続してしまうように仕向けます。

仕組み：

被害者が、攻撃者が管理するドメイン上にホストされているページにアクセスする。
このドメインは、当初、攻撃者のページを配信しているアドレスに解決されます。
攻撃者はDNSの応答を改ざんし、その後の検索が内部IPアドレスに解決されるようにする。
ブラウザやネットワークの保護機能がそのリクエストをブロックしない場合、そのページのスクリプトがルーター、IoTデバイス、または内部の管理サービスと通信を試みる可能性があります。

この攻撃は、ブラウザとサイトのオリジンとの間の信頼関係を悪用し、パブリックインターネットからは直接アクセスできないサービスをさらす可能性があります。攻撃の成否は、ブラウザの動作、DNSキャッシュ、ネットワーク設定、および内部サービスで実装されている保護対策によって左右されます。

攻撃者が得られるもの：脆弱性のあるデバイスやアプリケーションによって公開されている内部Webインターフェースや情報へのアクセス権。

見分け方：パブリックIPアドレスからプライベートIPアドレス範囲への予期せぬリクエストを調査してください。特に、不審なブラウザの動作と関連している場合は注意が必要です。

DNSリバインディングは、単にDNS応答を偽造するだけのものではありません。これは、DNS応答を巧妙に改変することで、ブラウザが被害者のネットワークにアクセスする仕組みを悪用するものです。

10. タイポスクワッティングと類似ドメイン

タイポスクワッティングとは、正規のドメイン名に似せたドメイン名を登録する行為であり、多くの場合、スペルの違い、文字の追加、あるいは異なるトップレベルドメインが用いられます。類似ドメインは、企業、従業員、サプライヤー、またはオンラインサービスを装うために利用される可能性があります。

これは、被害者のDNSインフラそのものに対する攻撃ではありません。これは、DNS命名システムを悪用して、ユーザーが正規のドメインと間違えかねないような偽のドメインを作成する行為です。

仕組み：

攻撃者は、信頼できるブランドやビジネスパートナーに似たドメインを登録します。
攻撃者は、そのドメインが電子メールに使用される場合はMXレコードを含め、DNSレコードを設定します。
このドメインは、詐欺サイトの運営、フィッシングメールの送信、あるいは役員や取引先を装うために利用されています。
被害者は、認証情報を開示したり、送金を行ったり、機密性の高い業務情報を共有したりする可能性があります。

攻撃者が得るもの：フィッシング、ビジネスメール詐欺（BEC）、認証情報の窃取、および詐欺を行うための、説得力のある身元情報。MXレコードを公開すること自体は、悪意のある意図を証明するものではありませんが、類似ドメインがメールを受信するように設定されていることを示唆する可能性があります。

見分け方：新たに登録された類似ドメインがMXレコードの公開を開始していないか注意してください。特に、そのドメイン名が自社のブランド名、役員名、またはサプライヤー名を模倣している場合は注意が必要です。

実例に基づくDNS攻撃の事例

いくつかの注目すべきセキュリティインシデントは、DNSの脆弱性や、それを支えるインフラに対する攻撃が、ユーザー、企業、そしてインターネットサービスにどのような影響を及ぼし得るかを示しています。以下の例は、さまざまな攻撃手法と、そこから得られる教訓を明らかにしています。

1. カミンスキーのDNSキャッシュポイズニングの脆弱性（2008年）

2008年、セキュリティ研究者のダン・カミンスキーは、DNSリゾルバーに影響を及ぼす重大な脆弱性を公表した。攻撃者は、大量の偽造応答を送信することで、リゾルバーのキャッシュを汚染し、ユーザーを悪意のある宛先にリダイレクトさせることが可能であった。この公表を受け、クエリ送信元ポートのランダム化の改善を含め、DNSソフトウェアおよびインフラストラクチャ全体で協調的な変更が行われた。

レッスン：リゾルバーのセキュリティ強化とDNSSECの検証は、偽造されたDNSデータからの防御に役立ちます。blog.cloudflare.com 。

2. Dyn DNS DDoS攻撃（2016年）

2016年10月、Miraiボットネットが、Dynに対する大規模な Dynを標的とした大規模なDDoS攻撃に利用されました。この障害により、Dynのインフラに依存していた数多くの著名なインターネットサービスへのアクセスに影響が及びました。Miraiは、ルーターやカメラなどのインターネット接続デバイスを乗っ取り、それらを利用して攻撃トラフィックを生成していました。

教訓：DNSの可用性は、堅牢なインフラと効果的なDDoS対策にかかっています。セキュリティ対策が不十分な接続デバイスは、はるかに大規模な攻撃の一翼を担う可能性があります。

3. DNSハイジャック攻撃キャンペーン：「Sea Turtle」および「DNSpionage」（2018年～2019年）

セキュリティ研究者らは、攻撃者がDNSインフラやドメイン管理プロセスを標的にしてトラフィックをリダイレクトするキャンペーンを報告した。「Sea Turtle」キャンペーンでは、DNS関連のアカウントやインフラが侵害された一方、「DNSpionage」では、より広範なスパイ活動の一環としてDNSハイジャックが行われた。これらの作戦はは、攻撃者が個々のコンピュータだけでなく、信頼されたドメイン解決システムをも標的とできることを示した。

教訓：ドメイン登録業者、DNSプロバイダー、およびネームサーバーの設定は、極めて重要なセキュリティ資産として扱わなければなりません。ドメインの委任設定に予期せぬ変更があった場合は、速やかに調査を行う必要があります。

4. MyEtherWalletのDNS/BGPハイジャック事件（2018年）

2018年4月、仮想通貨サービス「MyEtherWallet」にアクセスしようとしたユーザーが、あるインシデントの際に詐欺サイトにリダイレクトされる事態が発生しました。このインシデントは BGPルートハイジャックおよびDNSインフラに関連するインシデントが発生し、ユーザーは「MyEtherWallet」へのアクセスを試みた際に、詐欺サイトにリダイレクトされてしまいました。このインシデントは、インターネットのルーティングと名前解決に対する攻撃が組み合わさることで、悪意のある宛先を正当なものに見せかけることが可能になることを浮き彫りにしました。

要点： DNSのセキュリティについては、ルーティングのセキュリティ、証明書の検証、およびアカウントや機密性の高い取引の保護と併せて検討する必要があります。

5. SAD DNSキャッシュポイズニング攻撃（2020年）

2020年11月、研究者らが公表したところによると SAD DNSという手法を公表した。これは、ネットワークの挙動を悪用したサイドチャネルを利用して、脆弱なリゾルバーに対するDNSキャッシュポイズニング攻撃を再活性化させるものである。この研究により、2008年のカミンスキーによる公表後に導入された改善策では、考えられるすべてのキャッシュポイズニング手法を排除できていなかったことが明らかになった。

教訓： 研究者が新たな攻撃手法を明らかにするにつれて、DNSの防御策も進化させなければなりません。DNSソフトウェアを常に最新の状態に保ち、対応している場合はDNSSECの検証機能を活用してください。

DNS攻撃を検知する方法

DNS攻撃は、必ずしも即座にサービス停止を引き起こすわけではありません。中には、ユーザーを密かに別のサイトへリダイレクトしたり、隠れた通信経路を確立したり、フィッシング攻撃のためにドメインを準備したりするものもあります。変更や異常なDNSアクティビティを監視することで、より広範囲な被害が生じる前に問題を特定することができます。

次のような警告サインに注意してください：

予期せぬNS、A、AAAA、またはMXレコードの変更。その変更が承認されたものであるか、また意図した設定と一致しているかを確認してください。
要求されていない証明書の発行。ドメインに関連付けられている見慣れない証明書について、特に他の不審な活動と併せて発生している場合は、調査を行ってください。
クエリ数の急激な増加。リクエスト数やNXDOMAIN応答の急増は、フラッド攻撃やランダムサブドメイン攻撃の兆候である可能性があります。
通常とは異なるエンコードされたサブドメインや、非常に長いサブドメイン。見慣れないドメインに対する、繰り返し行われる高エントロピーのクエリは、DNSトンネリングの兆候である可能性があります。
ユーザーが誤ったウェブサイトにアクセスしてしまう。リゾルバーの応答と権威レコードを照合し、予期しないリダイレクトの原因を調査する。
デバイスやルーターにおける予期せぬDNS設定の変更。これらは、ローカルまたはルーターのハイジャックを示している可能性があります。

これらの兆候のいずれも、それ単体では攻撃を証明するものではありません。変化には正当な理由がある可能性もあるため、結論を出す前に、その発生時期、発生源、範囲、および状況を調査してください。

DNSセキュリティの継続的な監視により、変更や異常なアクティビティを具体的な対応につながるアラートに変換します。手動での確認には、当社の DNSレコード検索ツールを使用して、公開されているレコードを確認してください。インシデントが発生している疑いがある場合は、関連するログを保存し、調査をセキュリティチームに引き継いでください。

DNS攻撃の影響

DNS攻撃は、ウェブサイトの可用性だけでなく、その他の面にも影響を及ぼす可能性があります。その影響の程度は、使用された手法、侵害されたシステム、およびインシデントがどれほど迅速に検出されるかによって異なります。

業務の停止：洪水やDDoS攻撃により、正当なユーザーがドメイン名を解決できなくなり、ウェブサイト、アプリケーション、その他のオンラインサービスへのアクセスが中断される可能性があります。
データの盗難および不正アクセス：スプーフィング、ハイジャック、およびトンネリングは、認証情報の窃取、データの持ち出し、あるいは機密システムへのアクセスを可能にする可能性があります。
フィッシングと詐欺：類似ドメインや悪意のあるリダイレクトにより、詐欺サイトや詐欺メールが信頼できるように見せかけられ、認証情報の盗難やビジネスメール詐欺のリスクが高まります。
ブランドおよび評判への損害：悪意のあるサイトへリダイレクトされたり、その企業から送信されたように見える詐欺的な連絡を受けたりした結果、顧客は当該組織への信頼を失う可能性があります。
インシデント対応コスト：組織は、攻撃の調査、DNS設定の復旧、侵害されたシステムの封じ込め、影響を受けたユーザーへの連絡、および中断されたサービスの復旧を行う必要がある場合があります。

DNS攻撃を防ぐ方法

DNS攻撃を防ぐには、使用されている手法に応じた対策が必要です。DNSSECはDNSデータの検証に役立ち、レジストラのセキュリティ対策は不正なドメイン変更のリスクを低減し、トラフィック監視によって不審なクエリを検知することができます。あらゆる種類のDNS攻撃をすべて防ぐことのできる単一の対策は存在しません。

以下の表を参考に、一般的な攻撃とそれに対応する対策との照合を行ってください。

攻撃タイプ	推奨される制御方法
DNSスプーフィングとキャッシュポイズニング	DNSSECの署名と検証
DNSハイジャック	レジストラロック、多要素認証（MFA）、およびアカウントへのアクセス制限
DNS増幅攻撃	オープン再帰を制限し、レート制限を適用する
DNSフラッド	DDoS対策と耐障害性の高いDNSインフラ
NXDOMAIN攻撃	クエリのフィルタリングとレート制限
サブドメインの乗っ取り	不要なDNSレコードを削除する
DNSトンネリング	DNSクエリの監視とフィルタリング
オンパスDNS攻撃	MTA-STS、暗号化されたDNS転送
DNSリバインディング	ネットワークのセグメンテーションと内部サービスに対する制御
類似ドメイン	ドメイン監視とDMARCの適用

また、組織は、権威DNSレコードの変更を監視し、レジストラやDNSプロバイダーへのアクセス権限を定期的に見直し、廃止されたサービスを指すレコードを削除する必要があります。A 無料のDNSSECチェッカーを使用すれば、ドメインのDNSSECの状態を確認できますが、チェックに合格したからといって、DNSセキュリティのあらゆる側面が正しく設定されているとは限りません。

攻撃者が、信頼できる送信者を装うために、類似ドメインや乗っ取られたドメインを使用する場合、メール認証は同様に重要です。 DMARC、SPF、およびDKIM を導入することで、受信メールシステムがメッセージの認証を行うのに役立ちます。DMARCポリシーとして p=rejectのDMARCポリシーは、正しく実装され、整合性のある認証によってサポートされている場合、DMARC評価に失敗したメッセージを拒否するよう受信側に指示しますが、その適用動作は受信システムによって異なります。

詳細な手順一覧については、当社の DNSセキュリティのベストプラクティスチェックリストをご覧ください。

よくあるご質問

最も一般的なDNS攻撃とは何ですか？

「最も一般的である」と一概に言えるDNS攻撃は存在しません。DNSを悪用した脅威には、スプーフィング、ハイジャック、トンネリング、およびサービス拒否（DoS）攻撃などが含まれます。これらの発生頻度は、業界、ネットワークの露出度、および報告方法によって異なります。組織は、DNSの活動を監視し、自社のインフラストラクチャや脅威への露出度に基づいて防御策の優先順位を決定する必要があります。

DNSのオープンリゾルバーに対して行われる攻撃には、どのような2種類がありますか？

オープンDNSリゾルバーを悪用する一般的な攻撃手法としては、リゾルバーの応答を悪用してトラフィックを被害者に向けて誘導する「増幅攻撃」や「反射攻撃」、および過度なクエリでDNSサービスを機能不全に陥らせる「リソース枯渇攻撃」の2つが挙げられます。オープンリゾルバーでは、権限のないクライアントが再帰解決を利用できる場合、インフラが悪用されるリスクにさらされる可能性があります。

DNSスプーフィングとDNSハイジャックの違いは何ですか？

DNSスプーフィングとは、偽のDNS応答を送信することを指します。一方、キャッシュポイズニングとは、リゾルバーが偽造された応答を受け入れて保存してしまう現象です。DNSハイジャックとは、DNSの設定、レコード、または解決プロセスを乗っ取り、トラフィックをリダイレクトさせることを指します。いずれもユーザーを悪意のある宛先に誘導する可能性がありますが、攻撃者の手法や影響を受ける制御ポイントは異なります。

DNSSECはすべてのDNS攻撃を防ぐことができるのでしょうか？

いいえ。DNSSECは、DNSデータに対して暗号による認証と完全性を提供し、検証を行うリゾルバーが偽造された応答を検知できるよう支援します。ただし、DDoS攻撃、DNSトンネリング、あるいは乗っ取られたレジストラアカウントを通じて行われる不正な変更など、あらゆる攻撃を防ぐわけではありません。DNSSECが本来の保護機能を発揮するためには、正しく導入され、検証される必要があります。

まとめ

DNS攻撃は、トラフィックのルーティングを妨害したり、機密情報を漏洩させたり、顧客が依存しているサービスを妨害したりする可能性があります。さまざまな攻撃手法を把握しておくことで、セキュリティチームは不審な活動を調査し、適切な対策を講じることが可能になります。まずは、今すぐドメインの設定、アクセス制御、およびDNSの稼働状況を確認することから始めましょう。

DNS インフラストラクチャ全体でどのような変更が行われているかを把握する

DNSの正常性を監視し、予期せぬレコードの変更を検知し、設定上の問題を、より深刻なセキュリティ問題に発展する前に特定します。PowerDMARCは、自動化されたDNSチェックと監視機能により、ドメインのセキュリティ状況を把握するのに役立ちます。