歴史と起源
DNS リフレクション攻撃は、ドメイン ネーム システム (DNS) の特性を悪用して、大量の不要なトラフィックでターゲットのインフラストラクチャを圧倒する分散型サービス拒否 (DDoS) 攻撃の一種です。この攻撃は、オープン DNS リゾルバを利用して、被害者に向けられるトラフィックの量を増幅します。
DNS リフレクション攻撃が初めて言及されたのは、2006 年頃です。初期の DDoS 攻撃では、攻撃者は主にボットネットを使用してターゲットに直接トラフィックを流していました。しかし、このような攻撃に対する防御が強化されるにつれて、サイバー犯罪者は新しい戦術を模索しました。彼らは、偽造された送信元 IP アドレスを使用して DNS クエリをオープン DNS リゾルバに送信することで、リゾルバを刺激して被害者に大きな応答を送信させ、攻撃を増幅できることを発見しました。
DNSリフレクション攻撃の詳細情報
DNS リフレクション攻撃は通常、次の手順で実行されます。
-
偽装ソースIP攻撃者は、DNS クエリ パケット内の送信元 IP アドレスを偽装して、要求がターゲットから送信されたかのように見せかけます。
-
オープンDNSリゾルバ: 攻撃者は、これらの偽造された DNS クエリをオープン DNS リゾルバに送信します。これらのリゾルバはパブリックにアクセス可能であり、あらゆる IP アドレスからのクエリに応答するように誤って構成されています。
-
増幅率: オープン DNS リゾルバは偽造されたクエリを受信し、それが正当なリクエストであると信じて、ターゲットの IP アドレスを使用して応答をターゲットに送信します。通常、応答は元のクエリよりもはるかに大きいため、攻撃トラフィックが増幅されます。
-
ターゲットを圧倒する: 大量のトラフィックが殺到したターゲットは、高いリクエスト レートの処理に苦労し、サービスの低下や完全な利用不能につながります。
DNSリフレクション攻撃の主な特徴
DNS リフレクション攻撃には、特に効果的ないくつかの重要な特徴があります。
-
増幅率: この攻撃は、DNS クエリと応答のサイズの大きな差を利用します。この増幅係数は 50 ～ 100 倍になる可能性があり、小さなクエリでも応答がはるかに大きくなる可能性があります。
-
簡単に起動: この攻撃は攻撃者側で最小限のリソースしか必要としないため、初心者のサイバー犯罪者にとって魅力的です。インターネット上で利用可能なオープン DNS リゾルバの数が膨大であるため、攻撃の開始がさらに容易になります。
-
分散型自然他の DDoS 攻撃と同様に、DNS リフレクション攻撃は分散型です。つまり、複数のソースがターゲットへのフラッディングに関与しており、緩和が困難になっています。
-
UDP プロトコル: 攻撃は主にユーザー データグラム プロトコル (UDP) パケットを使用して実行されます。UDP パケットは、伝送制御プロトコル (TCP) パケットのようなハンドシェイクを必要としないため、ソースへの追跡が困難になります。
DNSリフレクション攻撃の種類
DNS リフレクション攻撃は、使用される DNS クエリの種類と応答のサイズに基づいて分類できます。最も一般的な種類は次のとおりです。
| 攻撃の種類 | 特徴 |
|---|---|
| 標準クエリ | 攻撃者は通常の DNS クエリを送信します。 |
| 任意のクエリ | 攻撃者は ANY レコードに対して DNS クエリを送信します。 |
| 存在しないクエリ | 攻撃者は存在しないドメイン名のクエリを送信します。 |
| EDNS0 クエリ | 攻撃者は、DNS の拡張メカニズム (EDNS0) を使用して応答サイズを増やします。 |
DNS リフレクション攻撃の使用方法と解決策
DNS リフレクション攻撃は、次のようなさまざまな方法で悪用されてきました。
-
サービスの混乱攻撃者は DNS リフレクション攻撃を使用してオンライン サービスを妨害し、企業のダウンタイムと経済的損失を引き起こします。
-
ソースのマスキング: 攻撃者は送信元 IP アドレスを偽装することで、攻撃トラフィックが被害者の IP から送信されたように見せかけることができ、インシデント対応中に混乱が生じる可能性があります。
-
防御策の回避DNS リフレクション攻撃は、他の攻撃を同時に実行しながら、セキュリティ チームの注意をそらすための陽動作戦として使用されることがあります。
解決策:
-
レート制限インターネット サービス プロバイダー (ISP) と DNS リゾルバ オペレーターは、レート制限ポリシーを実装して、特定の IP アドレスに送信する応答の数を制限し、増幅係数を減らすことができます。
-
ソース IP 検証: DNS リゾルバは、ソース IP 検証を実装して、応答が正当な要求元にのみ送信されるようにすることができます。
-
DNS 応答サイズの制限ネットワーク管理者は、増幅を防ぐために応答のサイズを制限するように DNS リゾルバーを構成できます。
-
オープンリゾルバのフィルタリング: ISP とネットワーク管理者は、オープン DNS リゾルバを識別してフィルタリングし、攻撃での悪用を防ぐことができます。
主な特徴と比較
| 特性 | DNS リフレクション攻撃 | DNS 増幅攻撃 | DNSフラッディング攻撃 |
|---|---|---|---|
| 攻撃方法 | オープンリゾルバを悪用してトラフィックを増幅する | 誤って設定されたDNSサーバーを使用してトラフィックを増幅する | 高いリクエストレートでターゲットのDNSインフラストラクチャを圧倒する |
| 増幅率 | 高（50～100倍） | 高（10～100倍） | 低い |
| 実行の難しさ | 比較的簡単 | 比較的簡単 | より多くのリソースが必要 |
| トレーサビリティ | 追跡が困難 | 追跡が困難 | 追跡が困難 |
展望と将来のテクノロジー
インターネットが進化し続けるにつれて、オープン DNS リゾルバに固有の脆弱性により、DNS リフレクション攻撃が続く可能性があります。ただし、DNSSEC (Domain Name System Security Extensions) の導入や、より安全な DNS リゾルバ構成など、ネットワーク セキュリティの進歩により、このような攻撃の影響を大幅に軽減できます。
将来のテクノロジーでは、オープン リゾルバの悪用を検出して防止するために、DNS リゾルバ レベルでの監視とフィルタリングのメカニズムの改善に重点が置かれる可能性があります。さらに、ISP とネットワーク管理者の連携を強化して、構成ミスに積極的に対処することで、DNS リフレクション攻撃のリスクをさらに軽減できます。
プロキシサーバーと DNS リフレクション攻撃
プロキシ サーバーがオープン DNS リゾルバーとして動作するように誤って構成されている場合、意図せず DNS リフレクション攻撃の一部になる可能性があります。攻撃者は、このような誤った構成を利用して攻撃トラフィックを増幅し、意図したターゲットに向けることができます。OneProxy などのプロキシ サーバー プロバイダーは、サーバーがこのような攻撃に使用されないように、厳格なセキュリティ対策を実装する必要があります。
関連リンク
DNS リフレクション攻撃の詳細については、次のリソースを参照してください。
サイバー脅威に関する情報を常に把握し、警戒を怠らないことが、オンライン サービスの整合性と可用性を保護する上で重要であることを忘れないでください。
