危険なオープンリゾルバにご用心

危険なオープンリゾルバにご用心

はじめに

誰でも使える電話帳のようなもの、それが公開名前解決サービスです。インターネットを使う時、私達はウェブサイトの名前（例えば、「example.com」）を入力します。しかし、コンピュータは名前ではなく、数字の住所（IPアドレス）でウェブサイトを探します。この名前と住所の対応表を管理しているのが、名前解決サービスです。

公開名前解決サービスは、誰でも無料でこの対応表を調べられるように公開しています。ウェブサイトの名前を入力すると、このサービスが対応する住所をすぐに教えてくれます。とても便利ですが、危険も潜んでいます。

悪意のある人がこのサービスを悪用して、大量の偽の問い合わせを送りつけることがあります。まるでいたずら電話を大量にかけるようなものです。この攻撃を受けると、サービスはパンクしてしまい、本来の利用者が使えなくなってしまいます。これを「増幅攻撃」といいます。

また、犯罪に利用される可能性もあります。悪意のある人が、他人の情報を盗み見たり、不正な操作をしたりする際に、自分の足跡を隠すために公開名前解決サービスを利用することがあります。あたかも偽名を使って電話をかけるように、自分の正体を隠すことができるのです。

このような危険から身を守るためには、公開名前解決サービスを適切に設定することが重要です。誰でも使える状態ではなく、限られた利用者だけが使えるように制限することで、悪用を防ぐことができます。設定方法を確認し、安全にインターネットを利用できるようにしましょう。

公開名前解決サービスは便利なものですが、使い方を誤ると危険な道具にもなり得ます。正しい知識を身につけて、安全に利用することが大切です。

仕組み

誰でも名前解決の問い合わせができる仕組み、それが公開名前解決装置です。普段、わたしたちが使う名前解決装置は、限られた場所に設置され、特定の利用者だけに向けて名前解決のサービスを提供します。例えば、会社の建物の中にある装置や、家庭で使っている装置がこれにあたります。しかし、公開名前解決装置は違います。インターネット上の誰からの問い合わせにも対応するように設定されています。これは、世界中どこからでも、この装置を使ってインターネット上の住所を調べることができるということです。

確かに、これは便利な仕組みに見えます。誰でも、どこからでも、知りたい住所を調べることができるのですから。しかし、この便利さの裏には危険が潜んでいます。誰でも使えるということは、悪意を持った人も使えるということです。例えば、大量の偽の問い合わせを公開名前解決装置に送りつけ、その返事を別の場所に送り返すことで、その場所を攻撃することができます。これを名前解決反射攻撃といいます。大量の水風船を送りつけて相手を水浸しにするようなものです。

公開名前解決装置が悪用されると、攻撃の踏み台にされてしまい、知らないうちに加害者になってしまう可能性があります。また、大量の問い合わせを処理するために装置に負担がかかり、本来の利用者が名前解決のサービスを受けられなくなることもあります。このような事態を防ぐためには、公開名前解決装置の利用を制限する必要があります。装置の管理者は、限られた利用者からの問い合わせだけに対応するように設定を変更する必要があります。そうすることで、悪意のある利用を防ぎ、安全なインターネット環境を維持することができます。まるで、家の鍵をかけるように、名前解決装置にも適切な対策が必要なのです。

危険性

誰でも使えるように設定された名前解決の仕組み、公開再帰型名前解決（オープンリゾルバ）には、思わぬ危険が潜んでいます。これは、インターネット上の悪意ある者に利用され、様々な攻撃の踏み台となる可能性があるためです。

最も懸念されるのは、ＤＮＳ反射攻撃への加担です。これは、攻撃者が大量の偽造ＤＮＳ問い合わせをオープンリゾルバに送りつけ、標的のサーバーに大量の応答を送りつける攻撃です。オープンリゾルバは、自分が悪用されていることに気づかず、攻撃者の手先となって標的を攻撃してしまうのです。この攻撃により、標的のサーバーは過負荷状態となり、サービスを提供できなくなります。

また、大量の迷惑メール送信にも悪用される可能性があります。攻撃者は、オープンリゾルバを介して大量の迷惑メールを送信することで、送信元の追跡を困難にします。受信者のメールボックスは不要なメールで溢れかえり、重要な連絡を見逃してしまう可能性も出てきます。

さらに、有害なプログラムを拡散させるのにも利用される恐れがあります。攻撃者は、オープンリゾルバを利用して有害なプログラムを仕込んだウェブサイトへのアクセスを誘導し、利用者の機器を感染させます。感染した機器は、さらに別の攻撃の踏み台として利用される可能性もあり、被害の拡大につながります。

そして、多数の機器を不正に操るボットネットの構築にも利用される可能性があります。攻撃者は、オープンリゾルバを通じてボットネットを制御し、大規模な攻撃を仕掛けることが可能です。これにより、インターネット全体に深刻な影響を及ぼす可能性があります。

このように、公開再帰型名前解決には様々な危険性が潜んでいます。不用意に公開しないように、適切な設定を行うことが重要です。

対策

外部からの不正利用を防ぐために、公開名前解決サーバーの設定を見直すことは非常に大切です。公開名前解決サーバーとは、インターネット上の誰でも利用できる名前解決サーバーのことです。これを悪用されると、大量のデータを送りつける攻撃や、他人の情報を盗み見る攻撃などに加担させられてしまう恐れがあります。

まず、外部からの名前解決の要求を拒否する設定を行うことが重要です。これは、自分の管理外の機器からの名前解決の依頼を断ることで、不正利用を防ぐ効果があります。設定方法は、利用している名前解決サーバーの種類や、ネットワークの構成によって異なりますが、多くの場合、ファイアウォールと呼ばれるネットワークの出入り口を守る仕組みに、特定の通信を遮断する規則を追加することで実現できます。例えば、５３番という名前解決で使われる通信の入り口を外部から閉じたり、許可された特定の機器からの通信だけを受け付けるように設定することで、不正利用を防ぐことができます。

名前解決サーバー自身の設定を変更する方法もあります。設定ファイルと呼ばれる、名前解決サーバーの動作を決めるファイルに、外部からの要求を拒否する設定を書き加えることで、ファイアウォールと似た効果を得ることができます。

設定変更以外にも、定期的に名前解決サーバーの記録を調べることも大切です。この記録には、いつ、どこから、どのような名前解決の要求があったのかが詳細に記録されています。身に覚えのない大量の要求や、普段と異なる通信のパターンを見つけた場合は、不正利用されている可能性が高いので、すぐに専門家に相談しましょう。

専門家は、記録を分析し、攻撃の種類や原因を特定し、適切な対策を提案してくれます。早急な対応が、被害の拡大を防ぐ鍵となります。

確認方法

自分の機械の名前解決を行う場所が、誰でも使える状態になっているかを確認するには、幾つかの方法があります。まず、誰でも使える状態になっているかを調べる道具が、インターネット上で公開されています。これらの道具は、名前解決の問い合わせを送り、その返事の内容から、誰でも問い合わせができる状態か判断します。インターネット上には様々な道具があるので、使いやすいものを選びましょう。

また、安全を守る専門の業者に頼んで、機械の名前解決の場所の安全診断をしてもらう方法もあります。専門家は、より細かい診断を行い、隠れた弱点を見つけることができます。専門業者に依頼する場合は、費用や診断内容を確認し、信頼できる業者を選びましょう。

誰でも使える状態になっているかは、コマンドを使って自分で調べることもできます。自分の機械で、`dig @自分のDNSサーバのIPアドレス any example.com`という命令を実行します。もし、返答が得られた場合は、誰でも使える状態になっている可能性があります。ただし、この方法は、ファイアウォールなどの設定によって結果が変わる可能性があるので、注意が必要です。

誰でも使える状態になっていると、知らないうちに悪意のある攻撃に利用される危険性があります。例えば、大量の迷惑メールを送信するために悪用されたり、偽のウェブサイトへ誘導する攻撃に利用されたりする可能性があります。このような攻撃に加担してしまうと、自分の機械だけでなく、インターネット全体に悪影響を与える可能性があります。

そのため、正しい設定と、常に状態を監視することが重要です。誰でも使える状態になっている場合は、設定を変更して、特定の機械からの問い合わせのみを受け付けるように制限しましょう。また、定期的に安全診断を行うことで、隠れた弱点がないかを確認し、安全なインターネット環境を保ちましょう。早めに対策を行うことで、大きな問題を防ぐことができます。

まとめ

インターネット上の住所録ともいえるDNS（ドメインネームシステム）は、私たちがウェブサイトを閲覧する際に欠かせない役割を担っています。このDNSの仕組みを悪用した攻撃の一つに、オープンリゾルバを踏み台にしたものがあります。オープンリゾルバとは、誰でも自由に利用できるDNSサーバのことです。誰でも使える便利さの一方で、悪意ある者に利用されると、DDoS攻撃などのサイバー攻撃の踏み台にされてしまう危険性があります。まるで、自分の家の電話を誰でも使えるようにしているのと同じで、知らないうちに犯罪の片棒を担がされているようなものです。

もしも自社のDNSサーバがオープンリゾルバとして設定されていたら、踏み台にされる危険性があるだけでなく、会社のネットワーク全体が攻撃にさらされる可能性も出てきます。そのため、システム管理者は、自社のDNSサーバがオープンリゾルバになっていないかを確認し、もしなっていた場合はすぐに設定を見直す必要があります。具体的には、DNSサーバの設定で、外部からの問い合わせを制限する設定を行うことが重要です。また、ファイアウォールでDNSのポートを制限するなどの対策も有効です。

利用者も、自分が使っているDNSサーバが安全なものかどうかを確認することが大切です。怪しい、あるいは安全性が不明なDNSサーバは利用しないようにしましょう。信頼できるプロバイダが提供するDNSサーバを利用することが推奨されます。

インターネットを安全に利用するためには、一人ひとりのセキュリティ意識の向上が不可欠です。オープンリゾルバの危険性について正しく理解し、管理者だけでなく利用者も適切な対策を講じることで、より安全なインターネット環境を実現できるでしょう。この記事が、皆様のセキュリティ対策の参考になれば幸いです。