企業DNS運用で実施すべきセキュリティ対策｜安全なDNSサービスを維持するための実践ポイント
KoAN
目次
企業DNS運用で実施すべきセキュリティ対策
DNSは企業ネットワークの基盤となる重要なサービスです。
Webサイトの閲覧、メール配送、クラウドサービス利用、Active Directory認証など、多くのシステムがDNSへ依存しています。
そのためDNSサーバが攻撃を受けたり、設定ミスによって停止したりすると、企業活動全体へ大きな影響が発生します。
近年ではDNSキャッシュポイズニング、DDoS攻撃、DNSトンネリング、マルウェア通信などDNSを狙った攻撃も増加しています。
本記事では企業DNS運用で実施すべきセキュリティ対策について解説します。
なぜDNSセキュリティが重要なのか
DNSはネットワークサービスの入口だからです。
利用者
↓
DNS
↓
Web
Mail
VPN
Cloud
DNS障害は複数サービスへ連鎖的な影響を与えます。
企業DNSを狙う主な攻撃
- DNSキャッシュポイズニング
- DDoS攻撃
- DNSアンプ攻撃
- DNSトンネリング
- マルウェア通信
- ゾーン転送情報漏えい
様々な脅威が存在します。
対策① DNSサーバの冗長化
DNSサーバは単一構成にしないことが重要です。
Primary DNS
↓
Secondary DNS
障害発生時もサービス継続が可能になります。
セカンダリーDNSの重要性
プライマリDNS停止時でも名前解決を継続できます。
企業DNSでは必須の構成です。
対策② オープンリゾルバ防止
オープンリゾルバはDDoS攻撃の踏み台になります。
allow-recursion {
localhost;
192.168.0.0/16;
};利用者を制限します。
対策③ 不要な再帰問い合わせ禁止
権威DNSでは再帰問い合わせを無効化します。
recursion no;攻撃対象を減らせます。
対策④ DNSSEC導入
DNSSECはDNS応答の正当性を検証する仕組みです。
問い合わせ
↓
署名確認
↓
正当性検証
DNSキャッシュポイズニング対策になります。
対策⑤ BINDの最新化
古いバージョンには脆弱性が存在することがあります。
# dnf update bind定期的な更新が必要です。
対策⑥ ゾーン転送制限
ゾーン転送を無制限にすると情報漏えいにつながります。
allow-transfer {
192.168.1.10;
};セカンダリーDNSだけ許可します。
対策⑦ ACL活用
アクセス制御リストを利用します。
acl trusted {
192.168.0.0/16;
};管理が容易になります。
対策⑧ ファイアウォール設定
DNSサーバへ不要な通信を許可しないことが重要です。
UDP/53
TCP/53
必要な通信のみ許可します。
対策⑨ 管理インターフェース分離
管理用ネットワークを分離します。
業務ネットワーク
管理ネットワーク
侵害リスクを低減できます。
対策⑩ ログ取得
DNSログは重要な監査情報です。
logging {
channel dns_log {
file "/var/log/named.log";
};
};障害調査にも利用します。
対策⑪ クエリログ監視
問い合わせ内容を監視します。
- 大量問い合わせ
- 不審ドメイン
- ランダム文字列
攻撃の兆候を発見できます。
対策⑫ DNSトンネリング検知
長いホスト名や大量TXT問い合わせを監視します。
aaaaaaaaaaaaaaaa.example.com
異常通信の可能性があります。
対策⑬ DNSフィルタリング
悪性ドメインへのアクセスを遮断します。
マルウェア対策として有効です。
対策⑭ Rate Limit設定
BINDにはRRL機能があります。
rate-limit {
responses-per-second 10;
};DNSアンプ攻撃対策になります。
対策⑮ Anycast利用
大規模環境ではAnycastが有効です。
東京
大阪
福岡
↓
同一IP
DDoS耐性を向上できます。
対策⑯ キャッシュサーバと権威サーバの分離
役割を分離します。
権威DNS
↓
公開用
キャッシュDNS
↓
社内用
セキュリティ向上につながります。
対策⑰ DNS監視導入
監視項目例です。
- プロセス監視
- ポート監視
- 応答監視
- 性能監視
障害の早期発見につながります。
対策⑱ 定期バックアップ
ゾーンファイルや設定ファイルを保存します。
/etc/named.conf
/var/named/
障害復旧に必要です。
対策⑲ 権限管理
DNS管理者を限定します。
- 最小権限
- 管理者分離
- 監査ログ取得
内部不正対策になります。
対策⑳ 定期監査
設定ミスがないか確認します。
- オープンリゾルバ確認
- ゾーン転送確認
- ログ確認
- 脆弱性確認
定期的な見直しが重要です。
企業DNS運用のベストプラクティス
冗長化
↓
アクセス制御
↓
DNSSEC
↓
監視
↓
ログ分析
↓
定期監査
多層防御を実現します。
実務で覚えておきたいポイント
- DNSは企業システムの重要基盤である
- オープンリゾルバを防止する
- ゾーン転送を制限する
- DNSSEC導入を検討する
- ログ監視を実施する
- 権威DNSとキャッシュDNSを分離する
- 定期監査を行う
まとめ
企業DNS運用では可用性だけでなくセキュリティも重要な要素です。
DNSキャッシュポイズニングやDDoS攻撃、DNSトンネリングなどの脅威へ対応するためには、多層的な防御が必要になります。
冗長化、アクセス制御、DNSSEC、監視、ログ分析を組み合わせることで安全なDNS運用を実現できます。
DNSは企業インフラの基盤であるため、定期的な見直しと継続的な改善を行うことが重要です。
