DNSリフレクション攻撃とは - サイバーセキュリティの用語と定義

DNSリフレクション攻撃の定義

DNSリフレクション攻撃は、ドメインネームシステム（DNS）の脆弱性を利用して、対象システムに悪意のあるDNS応答トラフィックの洪水を送り込む分散型サービス拒否（DDoS）攻撃の一形態です。この攻撃は、攻撃者が送信元IPアドレスを対象のものに偽装することで開始されます。これにより、攻撃者はDNSサーバーに大量の応答データを対象に送信させ、通常の機能を妨害することになります。

DNSリフレクション攻撃の動作原理

攻撃者は複数のDNSクエリを生成し、それをオープンDNSリゾルバに送信し、送信元IPアドレスを対象のものに偽装します。
対象が要求された情報を必要としていると想定して、オープンDNSリゾルバは偽装されたIPアドレスに対し、大量のDNS応答データを返します。
結果として、対象システムはデータトラフィックの急増で圧倒され、性能が低下したり完全にクラッシュしたりします。これにより、正当なユーザーにとってシステムが利用不可能になります。

予防のヒント

DNSリフレクション攻撃を防ぐ、または軽減するために、以下の対策を検討してください:

DNSリゾルバの設定: DNSリゾルバがDNS応答メッセージを適切に検証し、正当なクエリにのみ応答を送るように設定します。要求の正当性を確認する措置を実装することで、DNSリフレクション攻撃の影響を最小化できます。
レートリミットの実施: オープンDNSリゾルバが単一の送信元IPアドレスから過剰な数のクエリに対応しないように、レートリミットを実施します。この対策は増幅効果を減少させ、DNSリフレクション攻撃の潜在的な影響を軽減するのに役立ちます。
ファイアウォールの設定: 偽装されたIPアドレスを含むトラフィックをブロックするようにファイアウォールを設定します。これにより、これらのパケットが対象システムに到達するのを防ぎ、DNSリフレクション攻撃の効果を大幅に減少させることができます。
Anycastネットワークの使用: DNSクエリの要求を複数のサーバーに分散する手段としてAnycastネットワークを展開することを検討します。これにより、DDoS攻撃の影響を最小限に抑えることができます。Anycastネットワークは、ネットワーク内の最も近い利用可能サーバーに受信トラフィックを分散し、個々のサーバーへの負担を軽減し、サービスの継続的な利用を保証します。

追加の洞察

増幅因子

DNSリフレクション攻撃は、増幅因子を利用するため特に危険です。攻撃者は、最小限のリソースで大量のトラフィックを生成することができます。公開アクセス可能なDNSサーバーであるオープンDNSリゾルバを活用することで、攻撃者はターゲットに向けられるトラフィック量を増幅できます。IPアドレスを偽装することで、攻撃者は各DNSリクエストがあたかもターゲットから発信されたように見せかけ、増幅された応答データを直接ターゲットシステムに送ることができ、DDoS攻撃の影響を大幅に拡大します。

過去の事例

DNSリフレクション攻撃は、いくつかの高名な事件の原因となっています。一例として2013年のSpamhausへの攻撃があります。攻撃者はDNSリフレクションを利用して、Spamhausのインフラストラクチャに大量のトラフィックを送り込みました。この攻撃は、300ギガビット毎秒（Gbps）という前例のない速度に達し、世界中のインターネットサービスに重大な障害を引き起こしました。もう一つの例として、2018年のGitHubが体験したDDoS攻撃があります。この攻撃では、最大1.3テラビット毎秒（Tbps）のトラフィックボリュームに達し、再びDNSリフレクションを利用しました。

問題への対応

DNSリフレクション攻撃の影響を軽減するための努力が行われています。組織やDNSサービスプロバイダーは、応答レート制限（RRL）やそのバージョン2（RRLv2）などの技術を実装しています。これらの方法は、DNSサーバーによって送信される応答の数を制限し、DNSリフレクションの脆弱性への露出を制限することを目的としています。

さらに、権威あるDNSサーバーは、オープンリゾルバが増幅攻撃に利用されないような措置を採用しています。これにより、再帰クエリが正当なDNSリゾルバから発信された場合にのみ応答されるようにし、オープンリゾルバが攻撃者によって悪用されるのを防ぎます。

継続的な研究

研究者は、DNSインフラの安全性を向上させ、DNSリフレクション攻撃の影響を最小限に抑えるための新しい方法を引き続き調査しています。これには、偽装された送信元IPアドレスを持つアウトバウンドトラフィックの検出およびフィルタリング技術の探索、正当なDNS応答トラフィックと悪意のあるトラフィックを区別するメカニズムの開発、および様々な軽減戦略の有効性の分析が含まれます。