DNSに対する攻撃とは？

DNSに対する攻撃の意味

DNSサーバの仕組みを悪用する攻撃の総称。ゾーン情報の丸ごと取得によるネットワーク構成の露見や、存在しないサブドメイン名の大量問合せによる権威サーバの枯渇などがある。

DNSに対する攻撃の具体例

ゾーン転送を許可する相手を副サーバのIPアドレスだけに限定して、構成情報の取得を防ぐ。

DNSに対する攻撃は試験でどう引っ掛けられる？

水責め（ランダムサブドメイン）攻撃とキャッシュポイズニングを混同しやすい。水責めは存在しない名前を大量に問い合わせて権威サーバを枯渇させるDoS、ポイズニングは偽の応答を注入してキャッシュに嘘の対応を覚え込ませるもので、狙いが「止める」と「騙す」で違う。ポイズニングの対策はDNSSECや問合せの多様化で、ゾーン転送の制限では防げない。

DNSに対する攻撃と関連する用語

• DDoS攻撃

DNSに対する攻撃が出た過去問

• DNSサーバに格納されるネットワーク情報のうち、外部に公開する必要がない情報が攻撃者によって読み出されることを防止するための、プライマリDNSサーバの設定はどれ…

  正解：ゾーン転送を許可するDNSサーバを限定する。

  要点：ゾーン転送先の限定でゾーン情報の丸ごと取得を防ぐ

  ゾーン転送はゾーン情報を丸ごと複製する仕組みなので、無制限に応じると内部向けホスト名など公開不要な情報まで外部に渡ってしまう。プライマリDNSサーバでゾーン転送先をセカンダリDNSサーバだけに限定することで、この情報漏えいを防げる。

  出典：平成28年度 春期 データベーススペシャリスト試験 am2 問21（IPA）

• DNS水責め攻撃（ランダムサブドメイン攻撃）の方法はどれか。

  正解：標的の権威DNSサーバに、ランダムかつ大量に生成した存在しないサブドメイン名を問い合わせる。

  要点：存在しないサブドメインの大量問合せで権威DNSを枯渇させる

  DNS水責め攻撃は、実在しないランダムなサブドメイン名を大量に問い合わせる攻撃である。キャッシュに存在しない名前なので問合せが必ず権威DNSサーバまで転送され、その権威サーバが処理しきれずサービス不能に陥る。踏み台にされるキャッシュサーバ側にも負荷がかかる。

  出典：平成30年度 春期 データベーススペシャリスト試験 am2 問20（IPA）