F5 Distributed Cloud DNSでハイブリッドエンタープライズDNSSECを保護

Griff Shelley

Dileep Bairrajuプリンシパルプロダクトマネージャー | F5

DNSは、ドメイン名をIPアドレスに正確に変換するインターネットの電話帳ともいえます。しかし、DNSだけでは、受け取ったIPアドレスが正しいものかどうかを検証できません。つまり、転送中のDNS応答が何者かによって改ざんされると、悪意のあるサイトに誘導されても、それを知るすべがありません。そこで役立つのが、DNSSEC（Domain Name System Security Extensions）です。

DNSSECは、DNSレコードに暗号署名を追加します。DNSリゾルバーがドメインを検索する際、DNSSECを使用すると、その情報が正当な送信元から提供され、改ざんされていないことを検証できます。DNSSECはDNS応答に付ける改ざん検知シールのようなものと考えられますが、DNSSECでできることとできないことは明確に分かれています。

• DNSSECはDNSデータを暗号化しません（暗号化を行うのはDNS over HTTPS/TLS、すなわちDoHです）。
• DNSSECはDDoSやデータ流出を直接防止するものではありません。
• DNSSECは、DNS応答の真正性を検証します。

DNSSECは、「これはドメイン所有者からの正規の応答なのか、それとも偽装または改ざんされたものなのか」という問いに実質的に答えます。

今日のサイバー環境で重要な理由

現代の攻撃は巧妙であり、攻撃者は基盤システムへの信頼を悪用しようとします。DNSSECがなければ、DNSキャッシュを汚染したり、転送中のクエリを乗っ取ったりした攻撃者が、アラートを一切発生させることなく、ユーザーをフィッシングサイトや中間者攻撃（MITM）のインフラストラクチャへ密かにリダイレクトする可能性があります。

そのため、DNSSECがどのように役立つかを理解することが重要です。

• キャッシュポイズニングを防止できます。
• ドメインハイジャックのリスクを軽減できます。
• チェーンの最初のリンクを保護することで、ゼロトラスト態勢を強化できます。

DNSSECの導入は着実に進展

GoogleやCloudflareなどの主要プロバイダーでは、DNSSEC検証がデフォルトで有効になっています。一方、 .govおよび.eduドメインでは、DNSSECの使用が必須です。金融サービス、政府、医療の各業界では、業務のセキュリティ確保と顧客からの信頼維持にDNSSECを活用しており、小売など顧客向けの業界でも導入が着実に進んでいます。

では、なぜ誰もが利用しているわけではないのでしょうか？

これまで、DNSSECの評判は芳しくありませんでした。実装が複雑で、設定を誤ると（特にキーロールオーバー時に）問題が発生することがあり、すべてのリゾルバーやDNSプロバイダーが対応していたわけでもありません。しかし、現在はどうでしょうか。主要なリゾルバーの多くがデフォルトでDNSSECを検証し、最新のクラウドDNSプラットフォームでは、自動署名、ロールオーバー、検証の各ツールが提供されているため、導入がはるかに容易になっています。したがって、DNS戦略のセキュリティとレジリエンスを確保するうえで、DNSSEC対応ソリューションの実装もベストプラクティスの1つです。

DNSのベストプラクティス：セキュリティと冗長性

DNSSECの実装は、インターネットの電話帳にある自社のページに鍵をかけるようなものです。これは、サイバーセキュリティの基盤となる信頼性の確保に向けた大きな一歩です。

DNSSECを暗号化、ファイアウォール、脅威検知システムなどの他のセキュリティ対策と組み合わせることで、デジタルエコシステムに重要なセキュリティ層を追加できます。DNSのセキュリティを強化し、改ざんを防ぐというDNSSECの役割は極めて重要です。これらは、機密データを扱う業界がDNSSECを活用してシステムのセキュリティを維持し、顧客を保護するうえで不可欠なベストプラクティスです。

ただし、DNSのベストプラクティスを追求するには、オンプレミスとクラウドベースのDNSソリューションが連携して冗長性、パフォーマンス、セキュリティを強化するプライマリ／セカンダリDNS環境の構築も必要です。このようなハイブリッド環境では、F5 Distributed Cloud DNSとF5 BIG-IP DNSが連携し、DNSSEC署名と両者間でのDNSSECレコードのシームレスな受け渡しをサポートします。これにより、導入を複雑にすることなくDNSのセキュリティを確保しやすくなります。これは、堅牢なDNS戦略に不可欠です。

プライマリDNSとセカンダリDNSのサポートについて

Distributed Cloud DNSはDNSSECを強力にサポートしており、Distributed Cloud DNSが権威DNSである場合に、DNS応答のエンドツーエンドの完全性と真正性を確保します。

Distributed Cloud DNSでプライマリゾーンを管理する場合、組み込みのDNSSEC署名機能と鍵管理機能により、鍵の自動ロールオーバーを使用したゾーン署名をシームレスに有効化できます。ゾーン署名鍵（ZSK）と鍵署名鍵（KSK）は安全に管理され、上位レジストラへの委任に使用するDSレコードをエクスポートできます。これにより、Distributed Cloud DNSは、権威DNSによる名前解決とDNSSEC準拠の両方に対応するワンストップソリューションとなります。

では、Distributed Cloud DNSをセカンダリDNSサービスとして導入し、たとえばBIG-IP DNSのセカンダリとして運用する場合はどうなるのでしょうか。

このハイブリッドアーキテクチャでは、プライマリDNSサーバーとして機能するBIG-IP DNSが、引き続きDNSSEC署名を担います。Distributed Cloud DNSは、BIG-IP DNSから権威（AXFR）転送を介して受信した署名済みゾーンデータを転送し、提供するだけです。セカンダリとして動作するDistributed Cloud DNSはゾーンの変更や再署名を行わないため、BIG-IP DNSが生成したすべてのDNSSEC署名が維持されます。この構成により、BIG-IP DNSのDNSSEC制御を活用しながら、Distributed Cloud DNSのグローバルなリーチとエッジ配信のメリットを得られます。

Distributed Cloud DNSをプライマリ権威プラットフォームとして使用する場合でも、BIG-IPベースのアーキテクチャをグローバルセカンダリとして支える場合でも、DNSSEC戦略は維持され、柔軟性とセキュリティを確保しながらパフォーマンスを最適化できます。

DNSSECとF5でエンタープライズDNSを保護

DNSSECは、キャッシュポイズニング、ドメインハイジャック、その他のDNSベースの攻撃からDNSインフラストラクチャを保護しようとする企業にとって不可欠です。DNSレコードに暗号署名を付与することで、DNSSECはデータの完全性と真正性を確保し、セキュリティを重視する最新のアーキテクチャに不可欠な信頼レイヤーを提供します。

Distributed Cloud DNSは、プライマリゾーン向けのDNSSECサポートを標準搭載しており、運用を複雑化することなくDNSSECを容易に導入できます。すでにBIG-IP DNSをDNSSEC署名機関として使用している組織向けに、Distributed Cloud DNSは堅牢なセカンダリDNS機能も提供し、シームレスなゾーン転送とハイブリッド展開を可能にします。Distributed Cloudで権威ゾーンを直接保護する場合でも、BIG-IP DNSでDNSSECを利用しながらDistributed Cloudのグローバルに分散されたエッジを活用する場合でも、DNSの拡張性とセキュリティを確保できます。

詳細はこちらセキュアなセカンダリDNSとしてのDistributed Cloud DNSについてご覧ください。

著者について

Griff Shelley

Griff Shelleyのその他のブログ記事

Dileep Bairrajuプリンシパルプロダクトマネージャー | F5

Dileep Bairrajuのその他のブログ記事