[セキュリティ]DNSに対する攻撃方法と対策まとめ

Last updated at 2024-02-03Posted at 2021-04-02

社内で毎週エンジニアの勉強会を行っており、次回は自分の担当なので発表用の資料をこちらにまとめていこうと思います。

教材

教材はIPAが出している安全なウェブサイトの作り方を使っています。
https://www.ipa.go.jp/security/vuln/websecurity.html

2.2~2.4の章が自分の担当なのでこちらの記事では 2.2 DNSに関する対策についてまとめていきます。

DNSにおける問合せの流れについてはJPRSのサイトの図がわかりやすかったので引用します。

example.jpというドメインの名前解決をしたい場合、下記の流れでIPアドレスを取得します。

参考:
権威DNSサーバーってどこにあるの？
http://dnsops.jp/event/20150724/LT-simamura-1.pdf

一般家庭にあるネットにつなげるために設置されたルータの中にあるDNSのプログラムはスタブリゾルバでしょうか。(ter)
https://teratail.com/questions/99195

安全なウェブサイトの作り方の資料から引用

DNS により、ドメイン名を指定するだけで、該当するウェブサイトへのアクセスやメールの送受信が可能になります。そのため、 DNS に問題が発生すると、ウェブサイトや電子メール等のインターネットを利用するサービス全てに影響が及びます

キャッシュDNSサーバーが権威DNSサーバーに問合せを行う際に発信元のポート番号をランダムに変化させる手法。
攻撃者はポートを特定しないと応答を注入できないので攻撃しにくくなる。

アクセス元を制限しておらずどこからでもアクセスできるDNSキャッシュサーバーのこと。

DNSキャッシュサーバーへのアクセスを制限することでキャッシュポイズニング攻撃を受ける機会を減らす。

キャッシュポイズニング攻撃と同様でDNSキャッシュサーバーに問合せできなければ成立しないのでDNSサーバーへのアクセスを制限する

送信元のアドレスが正しいか事前に検証することで不正な問合せをブロックする
https://www.iij.ad.jp/dev/tech/activities/sav/

こちらの記事ではDNSログを解析して異常な数の不審な問合せをブロックする方法があるとのこと