マルウェアとDNS通信｜攻撃者がDNSを悪用する仕組みと対策を理解する
KoAN
目次
マルウェアとDNS通信
DNSはWebサイトの閲覧やメール送受信など、インターネットを利用する上で欠かせない仕組みです。
しかし近年では、マルウェアもDNSを積極的に利用するようになっています。
攻撃者はDNSを利用して感染端末を遠隔操作したり、情報を盗み出したり、マルウェアを拡散したりします。
DNS通信は企業ネットワークでも許可されていることが多いため、攻撃者にとって都合の良い通信経路となっています。
本記事ではマルウェアがDNSをどのように利用するのか、その仕組みと対策について解説します。
なぜマルウェアはDNSを利用するのか
マルウェアが活動するためには外部サーバとの通信が必要です。
例えば次のような目的があります。
- 攻撃者から命令を受け取る
- 盗んだ情報を送信する
- 追加マルウェアを取得する
- 感染状況を報告する
その通信手段としてDNSが利用されます。
DNS通信は遮断されにくい
多くの企業ではDNS通信を許可しています。
UDP/53
TCP/53
DNSが利用できないと通常業務へ支障が出るためです。
攻撃者はこの特徴を悪用します。
C&Cサーバとは
マルウェアは通常、C&Cサーバ（Command and Control Server）と通信します。
感染端末
↓
C&Cサーバ
↓
攻撃者
攻撃者は遠隔操作を行います。
DNSとC&C通信
マルウェアはまずC&CサーバのIPアドレスを取得します。
malware.example.com
↓
DNS問い合わせ
↓
203.0.113.10
取得したIPアドレスへ接続します。
感染直後の動作
多くのマルウェアは感染後にDNS問い合わせを行います。
感染
↓
DNS問い合わせ
↓
C&C接続
↓
命令受信
これが一般的な流れです。
ドメイン生成アルゴリズム（DGA）とは
高度なマルウェアではDGAが利用されます。
DGAは大量のドメイン名を自動生成する技術です。
abc123.com
xyz789.net
test456.org
毎日異なるドメインを生成します。
なぜDGAを使うのか
ドメインを停止されにくくするためです。
1つのドメインが遮断されても別のドメインを利用できます。
DGAの通信例
感染端末
↓
100個のドメイン生成
↓
順番にDNS問い合わせ
↓
有効なドメイン発見
↓
C&C接続
防御側は追跡が難しくなります。
Fast Fluxとは
DNS応答を頻繁に変更する手法です。
1回目
203.0.113.10
2回目
203.0.113.20
3回目
203.0.113.30
攻撃基盤を隠蔽できます。
DNSトンネリングとの関係
マルウェアはDNSトンネリングを利用することがあります。
感染端末
↓
DNS問い合わせ
↓
情報送信
情報漏えいに利用されます。
情報窃取の例
攻撃者は次のような情報を狙います。
- ID
- パスワード
- 顧客情報
- 社内文書
- クレジットカード情報
DNS経由で送信されることがあります。
マルウェア感染時のDNSログ
感染端末は大量のDNS問い合わせを発生させることがあります。
abc123.com
abc124.com
abc125.com
DGA利用時によく見られます。
不審なDNS通信の特徴
- ランダム文字列のドメイン
- 問い合わせ数の急増
- 未知の海外ドメイン
- TXTレコード大量利用
監視ポイントになります。
DNSログの確認
BINDではクエリログを利用します。
querylog yes;問い合わせ内容を記録できます。
ログ確認方法
# journalctl -u namedDNSサーバのログを確認します。
tcpdumpによる監視
# tcpdump -ni any port 53DNS通信をリアルタイムで確認できます。
DNSフィルタリング
危険なドメインへのアクセスを遮断します。
企業向けセキュリティ製品で広く利用されています。
DNS Sinkholeとは
悪性ドメインへのアクセスを別のサーバへ誘導する仕組みです。
malware.com
↓
本来のC&C
↓
Sinkhole
攻撃を無効化できます。
セキュリティ製品による検知
- IDS
- IPS
- EDR
- XDR
- SIEM
DNS通信分析機能を持つことがあります。
企業で実施すべき対策
- DNSログ保存
- 外部DNS利用制限
- DNSフィルタリング
- EDR導入
- 脅威インテリジェンス活用
多層防御が重要です。
内部DNSの重要性
利用者が自由に外部DNSを利用できる環境は危険です。
社内PC
↓
社内DNS
↓
インターネット
監視しやすい構成になります。
マルウェア対策としてのDNS監視
近年ではDNS監視がセキュリティ対策の重要な要素となっています。
感染の初期兆候を発見できる可能性があります。
実務で覚えておきたいポイント
- マルウェアはDNSを利用して外部と通信する
- C&Cサーバ発見にDNSが利用される
- DGAによって追跡を困難にする
- DNSトンネリングで情報漏えいが発生する
- DNSログ監視が重要である
- DNSフィルタリングが有効な対策となる
まとめ
マルウェアはDNSを単なる名前解決だけでなく、外部との通信手段として利用しています。
DGAやDNSトンネリングなどの技術によって攻撃者は検知を回避しながら活動を継続しようとします。
企業ではDNSログ監視やDNSフィルタリング、EDRなどを活用し、不審なDNS通信を早期に発見することが重要です。
DNSはネットワーク運用だけでなく、セキュリティ対策の観点からも理解しておくべき重要な技術と言えるでしょう。
