DNS Summer Day 2016の参加報告を、長野県松本市の『OSS活用勉強会』(http://www.temari-net.or.jp/)にて紹介した資料。 地元の勉強会でインターネット運用の裏で何が起きているか、初心者向けに解説しました。

1. DNSとサイバー攻撃
DNS Summer Day 2016 参加報告
2016/07/01

2. 大原 慎一郎
ohhara@shiojiri.com
（有）トラストネットワークス
長野県塩尻市 塩尻インキュベーションプラザ１０８号室
業務内容：
オープンソースシステムの設計構築開発保守
有線・無線のネットワークシステム設計構築開発保守
IT関連機器の構築コンサルティング・販売保守
IT関連のハードからソフトまで全般
主な取引先：
長野県全域の自治体、企業、団体
自己紹介

3. アジェンダ
 DNS Summer Day 2016 参加報告
 DNSとは何か
 名前解決の仕組み
 DNSへのサイバー攻撃
 BINDについて
 BIND代替OSSについて

4. DNS Summer Day 2016 参加報告
日本DNSオペレーターズグループが毎年開催
しているDNS関連イベントです。
主にISP事業者や関連企業のDNS技術者が参
加しています。
 日本DNSオペレーターズグループ
http://dnsops.jp/
 DNS Summer Day 2016
http://dnsops.jp/event20160624.html

5. DNSとは何か
DNS(Domain Name System)
IPアドレスとドメイン名を相互変換する仕組み
www.example.com 10.2.3.4
正引き
逆引き

6. グローバルIPアドレス
インターネットで使用する基本的な番号
全世界的に重複しない
ICANNで一元管理されている
日本ではJPNICにて管理
IPv4(32ビット)
IPv6(128ビット)
組織内ではプライベートIPアドレスを使用

7. ドメイン名
 ccTLD
国や地域に属する。
.jp
 gTLD
国や地域に属さない。
.com .net
www. example. com
ホスト名 ドメイン名

8. 主にドメイン管理業
者やユーザー企業
が設置
主にISP(プロバイ
ダー)側に設置、ま
たはGoogle Public
DNS(8.8.8.8)の
様に公に設置
名前解決の仕組み
www.example.com
10.2.3.4
スタブリゾルバー
フルリゾルバー
（キャッシュDNSサーバー）
権威DNSサーバー

9. DNSへのサイバー攻撃
コネクション型(TCP)
送信元 受信先
SYN(確立要求)
SYN+ACK(確認応答)
ACK(確認応答)
データ転送
FIN+ACK(切断要求)
ACK(確認応答)
ACK(確認応答)
時
間
FIN+ACK(切断要求)
コネクションレス型(UDP)
送信元 受信先
データ転送
時
間
相手を確認出来な
いので偽装が安易
で拒否も出来ない

10. DNSへのサイバー攻撃
DNSリフレクター攻撃
キャッシュDNSサーバー
権威DNSサーバー
攻撃対象A
攻撃者B
A(詐称)です。大きく応答して下さい。
Aさんへ大きく応答します。
参照資料：https://jprs.jp/related-info/guide/003.pdf

11. DNSへのサイバー攻撃
オープンリゾルバー攻撃
オープンリゾルバー
外部から応答するDNS
キャッシュサーバー
攻撃対象
攻撃者
攻撃命令
マルウェア感染端末群のボットネット

12. DNSへのサイバー攻撃
 ランダムDNSクエリー攻撃
 ランダムサブドメイン攻撃
abcd12345. example. com
ランダムなサブドメイン名 攻撃対象ドメイン名
参照資料：https://jprs.jp/related-info/guide/021.pdf
キャッシュされていないドメイン名を大量に、上位の権威
DNSサーバーへ問い合わせる事でキャッシュを無力化する

13. DNSへのサイバー攻撃
DNS水責め攻撃
オープンリゾルバー
権威DNSサーバー
攻撃者
攻撃命令
マルウェア感染端末群のボットネット
ISPのキャッシュDNSサーバー

14. DNSへのサイバー攻撃
オープンリゾルバーの停止
外部からのDNSクエリーを制限(ISP側)
家庭向けルーター機器への対策
IP53Bの実施
UDP/53ポートを制限(ISP側)
BCP38の実施
偽装したIPアドレスを制限(ISP側)

15. BINDについて
DNSサーバー実装のOSS
権威DNSサーバー機能とフルリゾルバー機能
BIND 9が現行バージョン
機能が豊富だが脆弱性の発見が多い
脆弱性の発見が夏に多いので「夏のBIND祭
り」としてDNS管理者には有名
参照資料：
http://dnsops.jp/event/20160624/BIND%E3%81%8B%E3%82%89%E3%81%AE
%E5%8D%92%E6%A5%AD_%E9%85%8D%E5%B8%83%E7%94%A8.pdf

16. BIND代替OSSについて
 近年、BINDに度々発見される脆弱性により、別のDNS実装ソフ
トウェアへの切り替えが検討されています。BINDの現状とその他
のDNS実装であるOSSについて紹介されました。
 NSD
 https://www.nlnetlabs.nl/projects/nsd/
 権威DNSサーバー機能
 Unbound
 http://www.unbound.net/index.html
 フルリゾルバー機能
 PowerDNS
 https://www.powerdns.com/index.html
 権威DNSサーバー機能とフルリゾルバー機能が分離
 Knot DNS
 https://www.knot-dns.cz/
 権威DNSサーバー機能

17. BIND代替OSSについて
構成例
Unbound
フルリゾルバー
PowerDNS
権威DNSサーバー
プライマリ
NSD
権威DNSサーバー
セカンダリ