DNS増幅攻撃とは何ですか?

DNS増幅攻撃とは何ですか?

DNS Amplification は、分散型サービス拒否 (DDoS) 攻撃であり、攻撃者が DNS (ドメイン ネーム システム) サーバーの脆弱性を悪用して、最初は小さなクエリをはるかに大きな送信ペイロードに変え、被害者のサーバーを「ダウン」させるために使用されます。

DNS Amplification は、パブリックにアクセス可能な DNS を操作し、多数の UDP パケットの標的にするリフレクション攻撃の一種です。加害者はさまざまな手法を使用して、これらの UDP パケットのサイズを「膨張」させ、最も堅牢なインターネット インフラストラクチャさえも破壊するほど強力な攻撃を行うことができます。

攻撃の説明

DNS 増幅は、他の増幅攻撃と同様、リフレクション攻撃の一種です。この場合、ミラーリングは、偽装された IP アドレスに対する DNS リゾルバーからの応答を引き出すことによって実現されます。

DNS Amplification 攻撃では、加害者は、(被害者の) スプーフィングされた IP アドレスを含む DNS クエリをオープン DNS リゾルバーに送信し、DNS リゾルバーがそのアドレスに DNS 応答で応答するようにします。多数の偽のクエリが送信され、複数の DNS リゾルバーが同時に応答すると、被害者のネットワークは制御不能な数の DNS 応答によって容易に「圧倒」される可能性があります。

反撃は増幅されるとさらに危険になります。ここでの「増幅」とは、送信された元のパケット要求に対して不釣り合いなサーバー応答を指します。

このような DNS 攻撃を増幅するには、大きな DNS メッセージを許可する DNS 拡張プロトコル EDNS0 を使用して各 DNS 要求を送信するか、DNSSEC (DNS セキュリティ拡張) の暗号化機能を使用してサイズを増やすことができます。単一のリクエストで DNS ゾーンに関するすべての既知の情報を返す、タイプ「ANY」の偽造クエリも使用できます。

これらおよびその他の方法を使用すると、サイズが約 60 バイトの DNS 要求メッセージを、宛先サーバーに 4000 バイトを超える応答メッセージを送信するように構成でき、その結果、増幅率は 70 :first になります。これにより、ターゲット サーバーが受信するトラフィックの量が大幅に増加し、サーバーのリソースが枯渇する速度が増加します。

さらに、DNS Amplification 攻撃は、1 つ以上のボットネットを介して DNS リクエストを転送することが多く、標的のサーバーへの直接トラフィックが大幅に増加し、攻撃者の性格の監視がさらに困難になります。

DNS 増幅は分散型サービス拒否 (DDoS) 攻撃です

• アプリケーション層攻撃とは何ですか?

DNS Amplification 攻撃の影響を軽減する方法

DNS 増幅攻撃の影響を防止または最小限に抑える一般的な方法には、DNS サーバーのセキュリティを強化すること、特定の DNS サーバーまたはすべての再帰リレー サーバーをブロックすること、およびレート制限が含まれます。

ただし、これらの方法では攻撃元が排除されるわけではなく、ネットワーク負荷やネーム サーバーとオープン再帰サーバー間の切り替えが軽減されるわけでもありません。さらに、オープン再帰サーバーからのすべてのトラフィックをブロックすると、正当な DNS 通信の試みが妨げられる可能性があります。たとえば、組織によっては、モバイル デバイスで作業する従業員が「信頼できる」ネーム サーバーから解決できるように、オープンな再帰サーバーを維持していることがあります。これらのサーバーからのトラフィックをブロックすると、アクセスが妨げられる可能性があります。

DNS Amplification 攻撃を防ぐ方法

では、組織が DNS Amplification 攻撃の被害に遭わないようにするにはどうすればよいでしょうか?

リゾルバを非公開にして保護しておきます

独自のリゾルバーを運用している場合は、そのキャッシュが組織外のハッカーによって汚染されるのを防ぐために、そのリゾルバーの使用をネットワーク上のユーザーに限定する必要があります。外部ユーザーには公開できません。

マルウェアによるキャッシュ感染を防ぐために、可能な限り安全になるように構成します。キャッシュ感染から保護する DNS ソフトウェアに組み込まれた安全対策には、送信リクエストに変更を追加して、ハッカーが偽の応答を受信するのを困難にすることが含まれます。これを行うには次のような方法があります。

• (UDP ポート 53 の代わりに) ランダムな送信元ポートを使用します。
• クエリIDをランダム化する
• 解決のために送信ドメイン名に大文字と小文字をランダムに配置します。 (これは、ネーム サーバーが IP アドレスを解決するときにexample.comとExaMPle.com を同じように扱うためですが、元のクエリと同じスペルを使用して応答するためです)。

DNSサーバーを安全に管理する

権限のあるサーバーに関しては、自分でホストするか、サービス プロバイダーまたはドメイン レジストラを通じてホストするかを決定する必要があります。ある専門家は、「あなた以上にセキュリティを気にかけている人はいないので、スキルがあるのであれば、自分でセキュリティをホストして管理するべきです。」と述べています。

もちろん、あなたにそのようなスキルがない場合は、他の人にやってもらうのが良いでしょう。多くの組織は世界中の 3 ～ 4 か所に DNS サーバーを設置する必要があるため、これは専門知識だけでなく規模の問題でもあります。