クラウド・クロニクル 第2回：DNS DDoS攻撃の防止と防御

Griff Shelley

DNSソリューションを環境にどのように適合させるかを検討する際、セキュリティは最初に思い浮かぶ要素ではないかもしれません。DNSは「インターネットの電話帳」と呼ばれることがよくありますが、電話帳とセキュリティが同時に語られることはほとんどありません。日々のインターネット利用を支える基盤でありながら、DNSはあまり目立たない存在です。広く普及しているからこそ、DNSサービスは分散型サービス拒否（DDoS）攻撃の標的にもなりやすいと考えられます。こうした攻撃が複雑化し、頻度も増すにつれて、インターネットインフラの要であるDNSを防御するための要件も厳しくなっています。

DNS DDoS攻撃：呼び名が変わってもトラフィックを妨害することに変わりはない

これまで語られていないDNS DDoS攻撃の話が、まだあるのでしょうか。その手法は多岐にわたり、規模も「厄介」なものから「インターネットを機能停止に追い込む」もの、少なくともその一部を停止させるものまでさまざまです。「DDoS」は、正規のアプリケーショントラフィックに紛れ込む、サービス妨害を目的とした多種多様なネットワーク攻撃やアプリケーション攻撃の総称です。ここでは、比較的よく見られる大規模攻撃を4つ紹介します。

DNS増幅攻撃とリフレクション攻撃は、DNSサーバーのオープンな性質を悪用してDNS自体を攻撃手段に変え、攻撃トラフィックを増幅します。これは、峡谷に向かって叫び、反響を利用して音を増幅するようなものです。

NXDOMAIN攻撃は、存在しないドメインへのリクエストをサーバーに大量に送り付け、「間違い電話」が不気味に鳴り響くような状態を作り出し、サービスの処理を滞らせます。

ランダムサブドメイン攻撃は、存在しないサブドメインを大量にリクエストするという変化球を投じ、DNSリゾルバーを混乱させます。

DNSフラッド攻撃は、正規に見えるトラフィックを1台以上のサーバーに大量に送り付け、その圧倒的な量によってシステムを過負荷状態にしようとします。

DNSフラッド、サブドメイン、NXDOMAIN、増幅・反射攻撃は、どのような形で現れるにせよ、過剰または不規則なトラフィックを利用して、正規ユーザーによるビジネスクリティカルなアプリへのアクセスを妨害しようとします。また、これらの攻撃は必ずしも単独で実行されるとは限りません。実際、DNS DDoS攻撃は、他の悪意ある活動を隠すための煙幕として利用されることもあります。デジタルトランスフォーメーションの拡大、IoTデバイスの普及、5Gネットワークアクセスの拡大を背景に、こうした攻撃が存在することを考えると、悪意ある攻撃者はDNSサービスを狙った不正な目的を達成するために、これまで以上に多くのテクノロジーとインターネット接続を利用できるようになっています。では、どう対処すればよいのでしょうか。

マルチベクトル攻撃には、マルチベクトルセキュリティを

環境内でDNSをアプリケーションデリバリーの起点と位置付けるなら、従来の意味ではDNSサービスが一般にセキュリティソリューションと見なされていないとしても、セキュリティの起点としても検討する必要があります。

セキュリティは、相互に関連する次の3つの機能という観点から考えると理解しやすくなります。スケーラビリティ、高可用性、悪意のあるトラフィックの管理。これらの機能はいずれもトラフィックを直接処理し、適切なトラフィックが妨げられることなく必要な宛先に到達できるようにします。

スケーラビリティ：トラフィック需要の急増に応じて自動的にスケールアップするよう構築されたインフラストラクチャを考えてみましょう。これにより、サービスの保守チームはDDoS攻撃の検知に早期に着手できます。ラッシュ時の渋滞を防ぐために車線を増やせる橋のように、ボリューム型攻撃の最中でも、正規ユーザーはほとんど妨げられることなくDNSクエリを解決できます。また、DNSサービスにスケーリング機能があれば、悪意の有無を問わずトラフィックが突発的に急増しても、バックエンドリソースが圧倒されて機能停止に陥る事態を防げます。

高可用性： 特にDNSセキュリティの観点から、スケーラビリティという概念をさらに一歩進めると、攻撃によってリソースがオフラインになる可能性がある場合でも、名前解決を中断なく提供できるDNSサービスの必要性が見えてきます。そのサービスが世界各地のポイントオブプレゼンス（PoP）を活用できれば、サーバーネットワークは指定されたリソースへのシームレスなフェイルオーバーによってインテリジェントなトラフィック管理を実現し、ユーザーのアクセスを可能にするとともに、攻撃者が単一障害点を特定して悪用するのを防ぐことができます。このソリューションには、クラウドベースのDNSサービスとオンプレミスのDNSサービスを組み合わせ、両者を動的なDDoS対策コンビとして導入する方法もあります。これにより、両サービス間で負荷を分散したり、一方のDNSサービスをもう一方のバックアップとして配置したりできます。

悪意のあるトラフィックの管理： DNSサービスには、スケーラビリティと高可用性に加えて、悪意のあるトラフィックを管理する高度な機能も必要です。リアルタイム分析と脅威インテリジェンスを活用することで、管理者は悪意のあるトラフィックが被害をもたらす前に特定し、対処しやすくなります。これは、きれいな水と汚染された水を見分け、きれいな水だけを通す浄水フィルターのようなものです。「クリーン」なトラフィックだけをネットワークに通すことで、悪意のあるトラフィックを事前に検出し、攻撃対象に到達する前に破棄できます。これにより、攻撃対象で不要なパケットを処理する必要がなくなり、リソースが解放され、アプリの可用性向上につながります。

これらのセキュリティ手法は、有害なトラフィックの緩和という課題に3つの方向から対処します。つまり、拡張し、トラフィックを迂回させ、そして破棄します。また、個々の手法だけでは不十分な領域を相互に補完します。たとえば、高可用性は必ずしも高いスケーラビリティを意味するわけではなく、その逆も同様です。しかし、この3つを組み合わせたアプリケーションデリバリー戦略を導入することで、悪意のある大量のトラフィックに対する強固な防御線を迅速に構築できます。

実際には、DDoS攻撃などの課題に直面しても堅牢なアプリケーションデリバリを実現するには、インテリジェントなトラフィック管理、分散アーキテクチャ、自動フェイルオーバーメカニズムなど、複数の戦略とテクノロジーを組み合わせることが一般的です。F5 Distributed Cloud DNSは、分散アプリケーション向けにこのような環境を構築する第一歩となり得ます。

その方法について詳しく知りたい場合は、お問い合わせください。

著者について

Griff Shelley

Griff Shelleyのその他のブログ記事