DNS水責め攻撃（ランダムサブドメイン攻撃）とは？でぃーえぬえすみずぜめこうげき
DNS水責め攻撃（ランダムサブドメイン攻撃）とは、標的ドメインの下に存在しないランダムな名前を大量に問い合わせ、キャッシュが効かない問合せを権威サーバへ集中させて応答不能に追い込む攻撃。踏み台にされたキャッシュサーバ側でも未処理の問合せが溜まり、無関係な利用者の名前解決まで止まる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
キャッシュサーバは同じ名前への問合せを再利用して権威サーバの負荷を下げる前提で設計されている。毎回異なる名前を投げればこの前提が崩れ、問合せがそのまま権威サーバへ素通りする。防御側は回線を太くしても効かず、問合せ元単位の制限や否定応答の保持といった設定面の対処で受け止めることになる。
具体例
権威サーバの応答時間と未処理問合せ数を監視項目に入れておくと、通常時は毎秒数十件の問合せが数万件へ跳ね上がった時点で検知できる。検知後は送信元ごとのレート制限をかけ、存在しない名前に対する否定応答の保持時間を延ばして負荷を落とす。
試験での引っ掛け
被害が及ぶのは権威サーバ側だけではなく、問合せを中継したキャッシュサーバも巻き込まれる点が要点。DNSリフレクション攻撃と混同しやすいが、あちらは応答を標的へ向けて増幅させる攻撃で、水責めは問合せそのもので処理能力を枯渇させる。
関連用語
出た過去問
出典：令和元年度 秋期 ITサービスマネージャ試験 午前Ⅱ 問23（IPA）
DNS水責め攻撃(ランダムサブドメイン攻撃)はどれか。
正解：標的の権威DNSサーバに、ランダムかつ大量に生成した存在しないサブドメイン名を問い合わせる。
要点：水責め攻撃は存在しないサブドメインの大量問合せで権威DNSを枯渇させる
DNS水責め攻撃は、標的ドメインの存在しないサブドメイン名をランダムに大量生成して問い合わせる攻撃である。キャッシュに載らないため問合せが必ず標的の権威DNSサーバまで到達し、その処理能力を消耗させて名前解決を妨害する。踏み台にされたキャッシュDNSサーバ側も負荷を受ける点が特徴である。
出典・参考
高度試験 午前I（情報処理安全確保支援士 相当）のシラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (7) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。