「DNSリフレクター攻撃」の版間の差分

提供: セキュリティ
移動: 案内、 検索
(ページの作成：「<!-- vim: filetype=mediawiki --> 読み方 ;DNSリフレクター攻撃: でぃーえぬえす りふれくたー こうげき ;DNS Reflector Attack: でぃーえ...」)
(相違点なし)

2013年4月28日 (日) 10:31時点における版


読み方

DNSリフレクター攻撃
でぃーえぬえす りふれくたー こうげき
DNS Reflector Attack
でぃーえぬえす りふれくたー あたっく

概要

リフレクター(Reflector)とは、反射器、反射板などの意味で、光や音を反射させる機器のことをいいます。 コンピュータネットワークでは、送信元からの問い合わせに、反射的に対応するシステムをリフレクターと呼びます。たとえば、WebサーバやDNSサーバがリフレクターとして動作します。

DNSリフレクター攻撃 は、DNS リフレクターの特性を利用して、DoS 攻撃をしかけます。

リフレクターがデータの増幅器（アンプ）として動作する場合は、アンプ攻撃(Amplification Attacks) とも呼ばれます。

リフレクター攻撃の成立の条件

  • 送信元IPアドレスの詐称による攻撃が可能であること
  • リフレクターとなり得るサーバーがたくさん存在すること
  • リフレクターによる増幅幅が大きいこと

DNSリフレクター攻撃の流れ

攻撃手法として、２種類の攻撃があります。

  1. オープンリゾルバーを利用したDNSリフレクター攻撃
  2. 権威DNSサーバーを利用したDNSリフレクター攻撃

オープンリゾルバーを利用したDNSリフレクター攻撃

  1. 送信元IPアドレス(攻撃対象のアドレス)を偽装して、DNSサーバに問い合わせを行う
応答サイズをできるだけ大きくなる問い合わせパターン(ANY, TXTなど)を利用します。
  1. DNS サーバは、DNSサーバに問い合わせをする
  2. データのサイズが大きい回答が送信される
  3. 偽装されたIPアドレス(攻撃対象のアドレス)に回答を送信する
  4. 応答をキャッシュ済みのオープンリゾルバーに対して、同じ内容で名前解決要求を送信し続けます。

権威DNSサーバーを利用したDNSリフレクター攻撃

  • 多数の権威DNSサーバーに対して、攻撃対象のIPアドレスを詐称した問い合わせを高い頻度で送信しつづける。応答サイズが大きくなる問い合わせをする。
  1. 多数の権威DNSサーバーは、攻撃対象に対して、大きいサイズの応答を高い頻度で送信し続けます。

対策

オープンリゾルバー を用いた DNSリフレクター攻撃 は、ネットワークとDNSサーバーの両方の対策が必要です。

権威DNSサーバーを用いたDNSリフレクター攻撃は、 DNS Response Rate Limiting (DNS RRL) を有力な対策の１つと言われています。

ネットワークにおける対策 Source Address Validation ( 送信元検証 )

DNSリフレクター攻撃 を成立させる条件の１つは、送信元IPアドレスが詐称できることです。

そのため、送信元IPアドレスを詐称したデータを送信できないように、ネットワーク機器などで設定することにより、自身のネットワークがDNSリフレクター攻撃の攻撃元となることを根本的に防止できます。 この方法は、 Source Address Validation (送信元検証) と呼ばれ、 RFC 2827 , RFC 3704 にまとめられています。

この対策は、他のプロトコルを利用した、リフレクター攻撃に対しても、効果があります。キャッシュポイズニング の加害者となることも併せて防止できます。

オープンリゾルバーの対策: オープンリゾルバーをなくす

オープンリゾルバー を用いたDNSリフレクター攻撃の対策は、オープンリゾルバーをなくすことです。

  1. キャッシュDNSサーバーと権威DNSサーバーの分離
  2. キャッシュDNSサーバーの適切なアクセスコントロールの実施
  3. 不必要な催奇検索要求受付を無効化する

権威DNSサーバーの対策

DNS Response Rate Limiting(DNS RRL)が有力な対策の１つです。

BIND 9 や NSD などで導入が進められています。

関連項目

「https://kaworu.jpn.org/security/index.php?title=DNSリフレクター攻撃&oldid=502」から取得