オープンリゾルバとは？

オープンリゾルバの意味

本来は特定の利用者からの問い合わせにのみ応答すべきDNSサーバが、誰からの問い合わせにも無制限に応答してしまう状態のこと。DNSアンプ攻撃などの踏み台に悪用される。

オープンリゾルバの具体例

設定の不備で外部からの問い合わせを制限していないDNSサーバが、攻撃者に踏み台として悪用され、大量の応答を第三者へ送りつけるのに使われてしまう。

オープンリゾルバは試験でどう引っ掛けられる？

サーバの管理者は被害者ではなく「加害の踏み台」として利用される点が特徴で、DNSサーバの設定の見直し（問い合わせ元の制限）が対策となる。

オープンリゾルバと関連する用語

• DNSアンプ攻撃
• DNSキャッシュポイズニング

オープンリゾルバが出た過去問

• 攻撃者が、多数のオープンリゾルバに対して、“あるドメイン”の実在しないランダムなサブドメインを多数問い合わせる攻撃(ランダムサブドメイン攻撃)を仕掛け、多数のオ…

  正解：“あるドメイン”を管理する権威DNSサーバに対して負荷が掛かる。

  要点：ランダムサブドメイン攻撃は権威DNSサーバを過負荷にする

  ランダムサブドメイン攻撃(DNS水責め攻撃)では、存在しないサブドメインを大量に問い合わせるため、キャッシュに答えがなくオープンリゾルバは毎回そのドメインの権威DNSサーバへ問い合わせる。結果として権威DNSサーバに膨大な問合せが集中し、正当な名前解決ができなくなるサービス妨害が起きる。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問25（IPA）

• 攻撃者が、多数のオープンリゾルバに対して、“あるドメイン”の実在しないランダムなサブドメインを多数問い合わせる攻撃（ランダムサブドメイン攻撃）を仕掛け、多数のオ…

  正解：“あるドメイン”を管理する権威DNSサーバに対して負荷が掛かる。

  要点：ランダムサブドメイン攻撃は権威DNSを過負荷にする

  実在しないランダムなサブドメインへの問い合わせはキャッシュに存在しないため、オープンリゾルバは必ずそのドメインの権威DNSサーバへ問い合わせを転送する。これが多数のリゾルバから一斉に行われることで、権威DNSサーバに大量の問い合わせが集中し、応答不能に陥る。すなわち権威DNSサーバを標的としたDDoS攻撃の一種である。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問18（IPA）

• DNSキャッシュサーバでのDNSキャッシュポイズニング攻撃の対策はどれか。

  正解：外部のDNSクライアントからの再帰的問合せを受け付けない設定にする。

  要点：キャッシュポイズニング対策はオープンリゾルバにしないこと

  DNSキャッシュポイズニングは、キャッシュDNSサーバに偽の名前解決結果を覚え込ませる攻撃です。外部の任意のクライアントから再帰的問合せを受け付けると、攻撃者が任意のタイミングで問合せを起こして偽応答を送り込めるため、キャッシュを汚染されやすくなります。したがって、外部からの再帰的問合せを拒否する設定が有効な対策になります。

  出典：令和7年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問5（IPA）