DNS Summer Day 2023

ネットワークセキュリティ技術導入実証などの総務省の取組
令和５年６月
総務省サイバーセキュリティ統括官室
広瀬 一朗

サイバーセキュリティ上の脅威の増大

1✓ 大規模サイバー攻撃観測網※にて観測されるグローバルなサイバー攻撃関連の通信数は年々、増加傾向。
※国立研究開発法人情報通信研究機構(NICT)の未使用のIPアドレス30万個(ダークネット)を活用した観測網✓ サイバー攻撃の目的の変化（愉快犯→金銭目的→地政学的・戦略的背景）や攻撃手法・対象の拡大など、
サイバーセキュリティ上の脅威が悪質化・巧妙化し、その被害が深刻化。
NICTERで１年間に観測されたサイバー攻撃関連の通信数(億パケット)

6000
5000
4000
3000
2000
1000
0

増加傾向

5705
5180

各IPアドレスに
約17秒に１回

5226

3756
632

2015

1440

1559

2016

2017

2169

2018

2019

2020

2021

※１IPアドレス当たり
年間183万パケット

2022 (年)※2020年は特異的な事象（大規模なバックスキャッタや大量の調査スキャン）が観測されたため、例外的にパケット数が多かったものと推測

サイバー攻撃の目的の変化
地政学的・戦略的背景
国家による関与の疑い

金銭目的（組織犯）
金銭等が目的：計画的、悪質
無差別に送付された
メールによる
マルウェア※1感染

ウェブサイトによる感染
特定の標的宛に送付されたメールによる感染
DDoS攻撃※2の被害
不正アクセスの被害
標的型攻撃※3
水飲み場型攻撃※4
不正送金の被害
リスト型攻撃※5の被害

愉快犯

安全保障

巧妙な標的型攻撃ランサムウェア感染※６
悪質なアドウェア※７の被害

攻撃対象の変容・拡大
重要インフラへの攻撃・戦略的目標への大規模攻撃の顕在化の観点を含めた対応

破壊的サイバー攻撃の頻発• 重要インフラの物理的被害• 大規模DDoSによる通信障害• 甚大な金銭的被害• 大規模な個人情報・機微情報の流出• 安全保障上の機微情報の流出

自己顕示、見せしめ、嫌がらせ等が目的

2000年

必要な対策の多様化

IoTボットネット
ワーム型ランサムウェア
サプライチェーンリスク

社会的リスクマネジメントの観点からの対応

情報の安全確保の観点からの対応

2005年

2010年

2015年

2020年

攻撃手法・対象の拡大

サイバーセキュリティと総務省の役割

2✓ サイバー空間は、あらゆる主体が利用する公共空間であり、その根幹は情報通信ネットワーク。
✓ サイバー攻撃等により、情報通信ネットワークの機能停止や情報の漏えい等が生ずれば、国民の生活や我が国の経済社会に甚大な影響が発生するおそれ。

⇒ 総務省の役割：社会経済活動を支える情報通信ネットワークの安全を確保し、サイバー空間を利用する全ての国民のサイバーセキュリティの向上を図ること。

国民の生活・社会経済
情
報
通
信
サ
ー
ビ
ス

行
政

金
融

医
療

交
通
・
物
流

情報通信ネットワーク

製
造
業

教
育
・・・

公
共
空
間
化
す
る
サ
イ
バ
ー
空
間

インターネットにおけるDNSの重要性➢ 「インターネットの電話帳」であるDNSが正常に機能し、ドメイン名を用いた正しい相手先の指定が可能になることは、インターネットを安全に利用するための必要条件の一つ。
➢ DNSの正規の機能を悪用する攻撃として、DNSフラッド攻撃、DNSランダムサブドメイン攻撃、
DNS キャッシュポイズニング、DNSハイジャック、DNSトンネリングなどがある。
➢ 最近でも、通信事業者の網内の踏み台からの大量のDNSクエリで当該事業者のDNSキャッシュ
サーバが応答できなくなった事例や、国内外の踏み台からの大量のランダムなサブドメインへのDNSクエリで特定の権威DNSサーバーが応答できなくなった事例がある。
➢ こうした攻撃への対策としては、トラヒックの監視や緩和とともに、DNSSECのようなセキュリ
ティ技術の導入が有効。

（参考）「ICTサイバーセキュリティ総合対策2022」（令和4年8月12日公表）の概要➢ 総務省では、2017年から「サイバーセキュリティタスクフォース」（座長：後藤厚宏情報セキュリティ大学院大学学長）において、情報通信分野におけるサイバーセキュリティに係る課題の整理や必要な取組の検討を実施。
➢ サイバーセキュリティ戦略の策定（2021年9月）、サイバー攻撃リスクの拡大等も踏まえ、パブリックコメントを経て2022年
８月12日に、今後重点的に取り組むべき施策として「ICTサイバーセキュリティ総合対策2022」を取りまとめ。

１．情報通信ネットワークの安全性・信頼性の確保➢➢➢

2022年度の実証の成果を踏まえ、2023年度も電気通信事業者による積極的なサイバーセキュリティ対策に関する総合実証を継続
通信の秘密に配慮しつつ、電気通信事業者による、より迅速なサイバー攻撃対策を実現するため、制度改正の必要性も含めて検討
2年後に実施期限を迎えるNOTICE（国立研究開発法人情報通信研究機構（NICT）がパスワード設定等に不備があるIoT機器の調査等を行い、電気通信事業者を通じて利用者に注意喚起を行う）の取組の拡充及びその検討➢

情報通信分野でのSBOM（ソフトウェア部品表）の導入可能性の検討

２．サイバー攻撃への自律的な対処能力の向上➢➢➢

NICTにおいて、CYNEX（サイバーセキュリティ統合知的・人材育成基盤）の2023年度の本格運用に向けた継続的な構築・運用及び産学官コミュニティの形成
NICTが実施する実践的サイバー防御演習（CYDER）について、未受講の地方公共団体への受講の促進や、出前講習、サテライト講習の試行及びオンライン演習の演習効果向上のための改善を実施
2025年日本国際博覧会側からの要望を踏まえつつ、 「サイバーコロッセオfor万博（仮）」の関連組織セキュリティ担当者等への実施を検討

３．国際連携の推進➢➢

ASEANのセキュリティ人材の育成支援を実施する日ASEANサイバーセキュリティ能力構築センター（AJCCBC）について、プログラム拡充、有志国との第三者連携等の強化を図るとともに、参加者のすそ野拡大、ASEAN以外のインド太平洋地域における能力構築支援の検討
5Gセキュリティ等の我が国の取組について国際標準化等の可能性を継続的に検討し、国際標準化機関において発信

４．普及啓発の推進➢➢➢

中小企業等へのテレワークセキュリティガイドライン・チェックリストの一層の周知や、地域SECUNITYでのインシデント対応演習の開催支援
2022年内に、サイバー攻撃被害を受けた組織において実務上の参考となる「サイバー攻撃被害に係る情報の共有・公表ガイダンス」を策定
こどもや高齢者に向けたサイバーセキュリティの普及啓発の強化を検討

4

サイバー攻撃インフラ検知等の積極的セキュリティ対策総合実証

5✓ 大規模化・巧妙化・複雑化するサイバー攻撃・脅威に、電気通信事業者が、より効率的・積極的に対処できるようにするため、①フロー情報分析によるC&Cサーバ検知技術の実証、②悪性Webサイトの検知技術・共有手法の実証、③ネットワークセキュリティ 対策手法の導入に係る実証等を実施。
①フロー情報分析によるC&Cサーバ検知技術の実証※C&Cサーバ：各感染端末（ボット）にサイバー攻撃の指示を出す管理サーバ

認定送信型対電気通信設備サイバー攻撃対処協会
C&Cサーバ

C&Cサーバを検知
フロー情報を
分析

◉

ISP網

感染端末

通常の端末

通信の内容ではなく、
IPアドレスやタイムス
タンプ等の付随情報② 悪性Webサイトの検知技術・共有手法の実証※悪性Webサイト：IDやパスワードなど個人情報の窃取に使用される、正規の金融機関等に偽装したWebサイト（フィッシングサイト） など

リスト化したC&Cサーバ情報を配布

C&Cサーバ情報を共有

大手ISP（分析事業者）…

様々なISP③ ネットワークセキュリティ対策技術の導入実証※ ネットワークセキュリティ技術: BGPハイジャックに対するRPKI、DNS
ハイジャックに対するDNSSEC、なりすましメールに対するDMARC 等

サイバー攻撃インフラ検知等の積極的セキュリティ対策総合実証

R3補正18.0億円、R４補正18.0億円

（参考）IoTセキュリティ強化の取組

6※NOTICE（National Operation Towards IoT Clean Environment）➢ IoT機器（監視カメラ、ルータ等）を悪用するサイバー攻撃の深刻化への対応として、情報通信研究機構（NICT）が、ID・パスワードに脆弱性があるIoT機器及び感染通信を出しているIoT機器を調査し、電気通信事業者（ISP）を通じて利用者への注意喚起を行う取組を2019年より実施。
【ID・パスワードに脆弱性があるIoT機器】※NICT法を改正し、今年度末までの５年間の時限措置として実施【感染通信を出しているIoT機器】

情報通信研究機構(NICT)
これまでサイバー攻撃 Passwordに用いられたもの admin1234
同一の文字等を
用いたもの

機器調査

aaaaaaa
12345678

情報通信研究機構(NICT)
感染通信の観測特定アクセス行為により、
ID・パスワードに脆弱性がある機器（その機器に係るIPアドレス）を特定

攻撃者 インターネット上のIoT機器

通知

ISPへの通知件数（2023年４月）

4,685件（３月度:4,176件）（参考）2019年度からの累積件数：
87,435件

電気通信事業者（ISP）

機器の利用者

注意喚起

ISPへの通知件数（2023年４月）

１日平均388件（３月度:516件）（参考）2019年度からの値：
１日平均440件

利用者からのサイバー攻撃の被害の申告を待つことなくプッシュ型による支援を実施

DNS Summer Day 2023

ISPにおけるネットワークセキュリティ技術の導入に関する調査

2023/06/23

デジタル・イノベーション本部

Agenda1. 事業の目的
2. 事業の概要
3. 技術概要と普及状況
4. 実証概要
5. 技術的課題の調査と促進に向けた検討

参考1. 実証実験参加者一覧 ・ 有識者会議参画メンバー
参考2. RPKI/DMARCの実施概要

Copyright © Mitsubishi Research Institute8

1. 事業の目的⚫ 情報通信分野の急速な技術革新により、高度化・多様化した電気通信サービスが国民各層に広く普及・浸透し、デジタル化を支える情報通信ネットワークは、今や国民生活や経済活動の重要かつ不可欠な基盤となり、その重要性は更に一段と高まっている。一方で、 2022年７月のフィッシング報告件数は、 2021年7月に比べて約３倍に増加する等、サイバー攻撃リスクが急速に拡大しており、 電子メールのなりすまし、迷惑メール等の被害は継続して発生している状況である。また、 悪意又は設定ミスによるBGPハイジャックやDNSハイジャックなどのリスクも生じている。
⚫ 今後、デジタル社会の実現に向けて、国民一人ひとりが安全に安心してデジタルを活用していくためには、電気通信事業者のネットワークにおいて、各段階における適切なセキュリティ対策を講じることをはじめ、サービス提供者側から積極的なセキュリティ対策を実施 し、より安全なインターネット環境を確保していくことが今後ますます重要になる。

⚫ 総務省では、インターネットの安全性、信頼性の向上を図り、利用者が安心･安全にインターネットを利用できる環境を実現するため、電子メールのなりすまし対策や迷惑メール対策、及び経路ハイジャックの抑止のための認証技術の普及促進を行っているが、国内ＩＳＰでの導入は一部にとどまっている。このため、これらの 実装状況
や技術導入の課題を把握し、導入を促すことが求められる。
⚫ 本調査では、各種認証技術等（①RPKI、②DNSSEC、③DMARC）の導入を促すことを目的とし、認証技術等
導入の実証を通じ、導入に係る技術的課題等を調査・把握し、課題解決に向けた論点を整理の上、具体的な課題解決策を検討する。

Copyright © Mitsubishi Research Institute9

①RPKI②DNSSEC③DMARC

2. 事業の概要(1)各種認証技術等（①RPKI、②DNSSEC、③DMARC）に関する現状の調査(2)各種認証技術等（①RPKI、②DNSSEC、③DMARC）の導入における技術的課題の調査(3)各種認証技術等（①RPKI、②DNSSEC、③DMARC）の促進に向けた検討(1) 認証技術等の導入に関する現状の調査(2) 認証技術等の導入における技術的課題の調査❶ RPKI❷ DNSSEC❸ DMARC

経路ハイジャック抑止となる
経路認証技術（RPKI等）の技術的課題等の調査・把握、課題解決に向けた論点整理、
具体的な課題解決策の検討

DNSSECによるDNS応答の認証技術の技術的課題等の調査・把握、課題解決に向けた論点整理、具体的な課題解決策の検討

電子メールのなりすまし対策、
迷惑メール対策技術である
DMARC等（SPF、DKIMを含む）のメール認証技術の技術的課題等の調査・把握、課題解決に向けた論点整理、
具体的な課題解決策の検討(3) 認証技術等の導入の促進に向けた検討
Copyright © Mitsubishi Research Institute

10

有
識
者
検
討
会

①RPKI②DNSSEC③DMARC3.1. DNSSECの概要⚫ DNSSEC（DNSSECurity extensions）は、DNS の仕組みに則りつつ拡張を行ったもので、ゾーンやリソースレコードといった DNS の仕組みをそのまま使うものになっている。
⚫ DNSSECでは、リソースレコードに電子署名を付与するため、改ざん検知が可能となる。暗号化の機能はなくあくまでクライアント側（リカーシブリゾルバ）において 不正な情報が検知できるようにするものである。
⚫ DNSSEC導入により、DNS応答の偽造による偽サイトへの誘導や情報の詐取を図る
DNSキャッシュポイズニングを検知し、攻撃を防ぐことができる。
一方で、DNSSECの設定や運用を誤るとインターネットに接続できなくなるといった懸念 もある。

サイバーセキュリティタスクフォース（第30回）資料30－３の抜粋

JPNIC技術セミナー「RPKI入門より」 」 https://www.nic.ad.jp/ja/tech/seminar/

https://www.soumu.go.jp/main_sosiki/kenkyu/cybersecurity_taskforce/02cyber01_04000001_00179.html

Copyright © Mitsubishi Research Institute11

①RPKI②DNSSEC③DMARC3.2. DNSSECの普及状況⚫ APNIC Labsでは、DNSSECの導入状況を公表している。
⚫ 上位から、サウジアラビア(SA) 89%、中央アフリカ共和国(CF) 97% 、アイスランド(IS) 96%、
フィンランド(FI) 95%、グリーンランド(GL) 93%などの国が高いDNSSECバリデーション率を示している。
（国別ドメインコードからサンプルを抽出し、 DNSSECで検証できた比率であり、実際の導入状況と異なる場合がある）⚫ 2023年3月時点で、日本（JP）は、15％に留まっている。
Rate High

Rate LowDNSSEC World Map
Copyright © Mitsubishi Research Institutehttps://stats.labs.apnic.net/dnssec
12

①RPKI②DNSSEC③DMARC

4.1. 実証規模⚫ 実証参加者の技術取得に対する要求を踏まえ、3つのコースを設け、導入における技術的課題を調査⚫ RPKI実証‐ 実証参加者： 携帯電話サービス に関する電気通信事業者、 インターネ ットサービス プロ バイダ、 電気通信事業、電力系事業者、

ケ ーブルテ レビ放送事業者、 インターネ ットインフラ事業者、 イーサネ ット事業者等の事業者‐ 実証参加者数： 体 験 コ ースに22社（ のべ56人 ） 、実験コースに 8社、導入検証コースに 4社⚫ DNSSEC実証‐ 実証参加者： ケ ーブルテ レビ放送事業者、電気通信事業者・ インターネ ットサービス プロ バイダ事業者・

イン ターネ ットイン フラ 事業者等の事業者‐ 実証参加者数： 体 験 コ ースに15社（ のべ 25人） 、 実験コースに 2社、 導入検証コースに 8社⚫ DMARC実証‐ 実証参加者： ケ ーブルテ レビ放送事業者、電気通信事業者・ インターネットサービス プロ バイダ事業者・

イン ターネ ットイン フラ 事業者、航空会社等の事業者‐ 実証参加者数： 体 験 コ ースに7社（ のべ 27人） 、実験コースに 2社、 導入検証コースに 8社

コース名

特徴

体験コース

リモート参加な体験および基本的な機能及び設定や動作を学習する技術者を対象として、
ディスカッションで理解を深めるコース 座学およびハンズオン形式で技術を体験するコース

実験コース

自組織ではない仮想環境で検証を行う 基本的内容を理解しているが導入・運用に関する課題や運用手順などのイメージが組織向けのコースない技術者を対象として、仮想環境などを提供して実験するコース

導入検証コース

自社に検証環境を設け、検証を行う組織向けのコース

Copyright © Mitsubishi Research Institute

説明

導入・運用はイメージできているが実環境での確認する機会がない
又はノウハウがない技術者を対象として、実環境での導入を検証するコース
13

①RPKI②DNSSEC③DMARC4.2. 実証環境の整備⚫ 各実証コースの利用を想定し、実証環境を整備した。
⚫ RPKIの仮想環境では、ネットワーク通信機材の持込みによる検証を想定し、 3大学の協力の基、慶応大学（SFC：神奈川）、大阪大学、長崎県立大学に設置。また、検証用及び実態を体験するためフルルートを流す環境を用意。
⚫ DNSSECの仮想環境では、正しく検証できていることを確認するために、実際に 不正なDNS応答を流せる環境を用意。
⚫ DMARCの仮想環境では、送信したメールのレポートの確認、受信したメールの レポート結果等が確認できる環境を用意。

体験コース

一部の設定・設定後の状態をリモートで体験

拠点内に正規サーバと偽サーバ等を設定

実験コース

各種設定・確認がリモートで可能実環境で利用する代表的な機材を用意

実証環境の利用も可能
不正な応答等を検出できるかを確認することも可能

一部の実証では機器の持込みも可能

導入検証コース

Copyright © Mitsubishi Research Institute

設定情報等
を提供

14

①RPKI②DNSSEC③DMARC4.3. 各認証技術体験コースのコースマテリアル❶ RPKI｜体験コースコースマテリアル一覧❸ DMARC｜体験コースコースマテリアル一覧

No タイトル

概要

No タイトル

概要

1 RPKI・リソース
証明書・ROA

RPKI・リソース証明書・ROA技術内容を口頭で説明、質疑応答

1 送信ドメイン
認証の考え方

送信ドメイン認証についての基礎知識（SPF、DKIM等）概要を解説

2 オリジン検証

オリジン検証について口頭解説、質疑応答

3 不正経路とROVの体験

遠隔からのリモート及び、検証サイトでのハンズオン形式で自分の端末にクライアント
証明書・経路証明書を導入し、実験環境に用意されたRPKIシステムを入切りして不正経路に接続されなくなることを実体験

2 メールの基礎知識 ヘッダ情報、エンベロープ情報によるなりすまし事例や、SPF、DKIM、DMARCの各技術の概要についてを解説

4 ルータの設定

試験環境で普段出来ないルータ設定を変えてみる

5 ディスカッション

ハンズオンでの不明点等を会話でフォロー

1 レコードの署名検証は応答ごとに検証することを確認する
整合性や信頼性を プロセスを解説
検証可能に

4 鍵交換

鍵のロールオーバーのタイミングなどの解説、及び鍵交換が正しく行われなかった際にどうなるのかを解説

5 DNSの不正応答

SERV FAILを体験し、不正応答時の状態を解説

Copyright © Mitsubishi Research Institute

一般的に使われるOSSとして、OpenDMARCとOpenDKIMについて紹介

none、quarantine、rejectのそれぞれのポリシーについて解説及びポリシー強化について解説
RPKI体験コースの受講

2 公開鍵暗号技術
KSK/ZSKの仕組みを解説を用いた電子署名
事前に用意されたドメインと仮想環境でログインし、鍵の生成など環境設定を解説

4 OSS紹介

6 DMARC
ポリシー運用

概要

3 ログイン

送信側、受信側それぞれにおけるDMARCの対応方法について解説

5 DMARCレポート DMARCレポートとはどういう形式で、何が分かるものなのかについて解説❷ DNSSEC｜体験コースコースマテリアル一覧
No タイトル

3 DMARCの対応方法

15

①RPKI②DNSSEC③DMARC

5.1. DNSSEC体験コースの結果⚫ 体験コースの主な想定課題については、② DNSにおける不正応答の概要を除き、①・③～⑥は半数以上であり、想定課題が正しい結果であった。
⚫ また、①DNSSECの概要は、半数以上が課題解消できたという回答であった。
⚫ 一方で、④権威サーバとキャッシュサーバの概要、⑤ 再署名と鍵更新、⑥不具合への対処 の考え方は、半数以上が、課題未解消（本体験コースでは情報、体験不足）という結果であるため 、他の実験コースなどへの参加を推奨する必要がある。
76%

80%

69%

70%

53%

60%
50%
40%

69%

53%
46%
38%
38%
30%

38%

38%
30%

23%

30%
20%

10%

15%

15%
7%

10%
0%

課題と思う

38%

課題解決

Copyright © Mitsubishi Research Institute

課題未解決
16

①RPKI②DNSSEC③DMARC

5.1. DNSSEC体験コースの結果⚫ 体験コースの受講の感想では、「 DNSSEC技術について基礎的な知識が身につけられた」が 54%であり、基礎的な知識を習得するために有効である。

⚫ 今後のDNSSECの導入については、「導入を積極的に考えたい」が39%、「導入に至るか
分からないが、前向きに考えたい」が 46%であり、合計で85%を占めた。

⚫ また、「DNSSEC技術導入の検討に大いに役立った」が15％で、この2つの回答で69%を占める。

⚫ 「導入を検討するかどうかわからないが情報は積極的に得たい」が15%であり、これらをあわせると100%となり、DNSSEC普及の効果が見込める。

7％

15%

15%
23%

39%

54%

46%

DNSSEC技術導入の検討に大いに役立った
DNSSECの技術についての基礎的な知識を身に付けられたもう少し基礎的なことから知りたかった
もう少し専門的なことを知りたかった
今回の受講により、DNSSEC技術導入を検討しようと思った
自社の技術者や他の関係者にも受講させたいと思った
Copyright © Mitsubishi Research Institute

導入を積極的に考えたい
導入に至るかは分からないが、前向きに考えたい
導入を検討するかどうか分からないが、情報は積極的に得たい
導入には消極的に捉えている導入は考えていない
17

①RPKI②DNSSEC③DMARC

5.2. 技術的課題の調査⚫ 各種認証技術等の導入における技術的課題について実証参加者よりいただいたご意見②DNSSEC導入における技術
的課題についての意見⚫ 基礎・技術‐ DNSSECの基本的な理解不足、情報不足という課題・ 懸念が 最も多い。
‐ 具体的には、DNSSECの基本的な一連の設定（設定の準備～鍵の生成・署名～DS登録 ～ゾー ンの 編集）に 関して確認したいとの意見が多い。
⚫ 運用・ノウハウ‐ 運用に関するノウハウ、情報不足 という課題・懸 念が多 い。
‐ 具体的には、鍵交換・証明書など運用に関する 意見が 多い。
‐ また、他社の導入状況や導入に関する考え方につい て知 りたい 等の意 見も有 り。

⚫ サービス提供・顧客視点‐ DNSSEC導入によってDNSにアクセスができなくな った 際の顧 客の問 い合わ せ対応、顧客環境での確認や顧客を安心させる 材料等 が欲しい の意見も 有り。

Copyright © Mitsubishi Research Institute18

①RPKI②DNSSEC③DMARC

5.3. 促進に向けた検討⚫ 各種認証技術等の導入促進に向けた課題に対する解決策の検討②DNSSEC
実証事業を通じて見出された課題⚫ 運用に関する情報、ノウハウの要求に対する施策が必要＝ガイドラインの整備が必要⚫ 鍵交換、不正応答等の具体的な実施（特に、再署名と鍵更新の対応、不具合への対処）に対する体験や知見取得の要求を満たす機会の創出が必要＝実験環境の提供や実証作業・習得項目の創出が必要

今後の認証技術
普及の課題⚫ DNSSECを導入している企業・組織の取組みを評価していく施策が必要

今年度の実証の課題と解決にむけた来年度の取組み⚫ 実運用で重要な「ロールオーバ」に関して、鍵の交換時期を通知するツールや、鍵交換の自動化ツールなどオープンソース、サンプルコードの紹介してほしいという意見もあった⚫ DNSSECを導入している企業・組織のリスト化、公表・広報していく施策が必要⚫ SERV FAILの扱い、不正なサイトを表示させことによるトラブル対応（顧客対応等）、個社が判断、選択をするのが難しいため、共通認識や指標を求める意見もあった⚫ DNSSEC導入による効果やドメインを守ることの重要性に関する説明も重要であると
有識者等の意見があった

Copyright © Mitsubishi Research Institute19

①RPKI②DNSSEC③DMARC

5.４. 現状・課題・解決策と今後⚫ 現状・課題・解決策

ネットワークセキュリティの技術（RPKI/DNSSEC/DMARC等送信メールドメイン認証）

現状

課題⚫ 対策技術としては理解 されているが、導入に 踏み切るまでに至らず 普及していない。
⚫ 設定を誤ると、インターネットにおける到達性を含めて、サービスに不具合が起きる。導入に敷居がある。

⚫ 導入に踏み切る 根拠が必要である。その機会を設ける。
⚫ 導入しても問題ないのか、不正を避けられるのか、不具合に対処できるのかに確証 を持つ。

⚫ 実際に実験して確証を得る。 （導入しても問題ない・不正を避けられる・不具合に対処できる）

解決策
と今後

⚫ 今後、ガイドライン策定を含む活動により、基本的な理解と導入根拠が得られると考えられるが、普及への足掛かりであり実質的普及には戦略的に取り組んでいく必要がある。
⚫ ユーザが直面することになるフィッシング詐欺などの直接的な施策にあたらないが、一つ一つの要素を押さえていくことがサイバー空間を支えるインターネットの分野において重要である。要素の関係性と効果などについて議論していきたい。

Copyright © Mitsubishi Research Institute20

①RPKI②DNSSEC③DMARC

5.5. ガイドラインに必要な情報（検討中）⚫ 基本的な情報は、必要か？
⚫ 設定・運用・トラブルシュートで参考になるTipsが必要⚫ 署名側（権威DNSサーバー）と署名検証側（フルリゾルバー）は読者が異なるので書き分けるべき
No 文献名

発行者

日付

URL

1

30分で学ぶDNSの基礎の基礎～DNSをこれから勉強する人のために～

JPRS

2014/09https://2014/seccon/jp/dns/dns_basics_in_30minutes/pdf

2

初心者のためのDNS運用入門-トラブルとその解決のポイント-

JPRS

2013/07https://dnsops/jp/event/20130719/20130719-dns-beginnersguide-mizuno-2/pdf

3

DNSSECの基礎概要

JPRS

2012/11https://www.nic.ad.jp/ja/materials/iw/2012/proceedings/t9/t9Funato.pdf

4

DNSSECの仕組みと現状

JPRS

2012/11https://dnssec.jp/wp-content/uploads/2010/11/20101122techwg-DNSSEC-mechanisms-and-status.pdf

5

DNSSECとは

JPRS

2011

https://jprs.jp/dnssec/doc/dnssec.pdf

6

DNSSEC性能確認手順書 ver. 1.2

JPRS

2010/07https://jprs.jp/dnssec/doc/DNSSEC-perf-co-proc-v1.2.pdf

7

DNSSEC技術実験報告書 運用設計編

JPRS

2010/12https://jprs.jp/dnssec/doc/DNSSEC-testbed-report-odv1.0.pdf

8

DNSSEC技術実験報告書 機能・性能確認編

JPRS

2010/12https://jprs.jp/dnssec/doc/DNSSEC-testbed-report-odv1.0.pdf

9

そこが知りたいDNSSEC

JPRS

2010/01https://www.janog.gr.jp/meeting/janog25/doc/janog25-dnssec.pdf

10 使えます！OpenDNSSEC

JPRS

2010/07https://jprs.jp/dnssec/doc/opendnssec.pdf

11 動かしてみましたDNSSECイントロ篇

JPRS

2010/07https://www.janog.gr.jp/meeting/janog26/doc/post-dnssecintro.pdf

12 動かしてみましたDNSSEC権威サーバー編

JPRS

2010/07https://www.janog.gr.jp/meeting/janog26/doc/post-dnssecmin.pdf

13 Internet Week 2010 S10_DNSSECチュートリアル_実践編

JPRS

2010/11https://www.nic.ad.jp/ja/materials/iw/2010/proceedings/s10/iw20
10-s10-01.pdf

14 JPドメイン名におけるDNSSEC運用ステートメント（JP DPS）

JPRS

-

15 キャッシュDNS サーバDNSSEC導入ガイドライン

DNSSECJAPAN

2011/01https://dnssec.jp/wp-content/uploads/2011/03/20110207techwg-DNSSEC-cacheserver-guideline.pdf

16 2011年度版リストガイド(DNSSEC) (cryptrec/go/jp)

独立行政法人情報通信研究機構

2024/03https://www/cryptrec/go/jp/report/cryptrec-tr-2001-2011/pdf

17 Secure Domain Name System(DNS) Development Guide NIST SP 800-81-2

NIST

2013/09https://nvlpubs/nist/gov/nistpubs/SpecialPublications/NIST/SP/80
0-81-2/pdf

18 DNSSEC対応のために必要なこと

総務省-

https://www.soumu.go.jp/main_sosiki/joho_tsusin/security_previous/juyogijutsu/dnssec05.htm

Copyright © Mitsubishi Research Institute21

https://jprs.jp/doc/dnssec/jp-dps-jpn.v1.6.html

参考情報1 ：実証参加者 ・ 有識者会議参画メンバー

Copyright © Mitsubishi Research Institute22

①RPKI②DNSSEC③DMARC

実証実験参加者一覧【①RPKI】実証実験参加者一覧【②DNSSEC】実証実験参加者一覧

中部テレコミュニケーション株式会社

Copyright © Mitsubishi Research Institute23【③DMARC】実証実験参加者一覧

①RPKI②DNSSEC③DMARC

有識者会議参画メンバー⚫ 各種認証技術における有識者会議参画メンバー一覧❶ RPKI｜有識者会議参画メンバー❷ DNSSEC｜有識者会議参画メンバー

No 氏名

所属

No 氏名

所属

1 蓬田 裕一

株式会社インターネットイニシアティブ

1 木村 泰司

2 渡辺 英一郎

NTTコミュニケーションズ株式会社

一般社団法人日本ネットワーク
インフォメーションセンター (JPNIC)

3 中村 修慶應義塾大学 環境情報学部 教授

2 野々下 幸治

トレンドマイクロ株式会社

4 豊田 安信

慶應義塾大学／WIDEプロジェクト

3 其田 学株式会社インターネットイニシアティブ(IIJ)

5 猪俣 敦夫

大阪大学 サイバーメディアセンター 教授

4 永井 祐弥

GMOインターネットグループ株式会社

6 矢内 直人

大阪大学 大学院情報化研究科 准教授

5 関谷 勇司

東京大学 大学院 情報理工学系研究科 教授

7 岡田 雅之

長崎県立大学 情報システム学部
情報セキュリティ学科 教授❸ DMARC｜有識者会議参画メンバー

8 服部 亜希子

シスコシステムズ合同会社

No 氏名

所属

9 渡邊 貴之

ジュニパーネットワークス株式会社

1

木村 泰司

10 小川 怜ノキアソリューションズ&ネットワークス合同会社

一般社団法人日本ネットワーク
インフォメーションセンター (JPNIC)

2

平塚 伸世

一般社団法人JPCERTコーディ
ネーションセンター(JPCERT/CC)

3

野々下 幸治

トレンドマイクロ株式会社

4

櫻庭 秀次

JPAAWG/株式会社インターネット
イニシアティブ(IIJ)

5

末政 延浩

JPAAWG/株式会社TwoFive

Copyright © Mitsubishi Research Institute24参考情報2 ： RPKI / DMARCの実施概要

Copyright © Mitsubishi Research Institute25

①RPKI②DNSSEC③DMARC【RPKI】認証技術の概要⚫ RPKI（リソースPKI – Resource Public -Key Infrastructure ）は、IPアドレス等のアドレス資源管理における公開鍵認証基盤である。この基盤技術は IPアドレスなどのアドレス資源の分配について電子証明書を用いて証明するもので、IETF ＊１ において標準化されている。
⚫ 「経路ハイジャック ＊2 抑止となる経路認証技術」とは「 ROA(Route Origination Authorization) 」と、
BGP経路情報の検証である「ROV(Route Origin Validation) 」の二つを意味しており、その導入には「ROAの作成」と「ROVの実施」という二つの側面がある。
⚫ これらの技術を使い、インターネット利用者を不正な経路へ誘導されることなく、正しい経路に導くことができる。
一方で、RPKIの設定を誤るとインターネットサービスを利用できなくなるといった 懸念もある。

JPNIC技術セミナー「RPKI入門より」
https://www.nic.ad.jp/ja/tech/seminar/

サイバーセキュリティタスクフォース（第30回）資料30－３の抜粋
https://www.soumu.go.jp/main_sosiki/kenkyu/cybersecurity_taskforce/02
cyber01_04000001_00179.html*1 Internet Engineering Task Forceの略称であり、インターネット技術の標準化を推進する任意団体。
*2 不正な経路情報を流すことによって経路を操作・ハイジャックする状態のこと。
Copyright © Mitsubishi Research Institute26

①RPKI②DNSSEC③DMARC【RPKI】認証技術の普及状況⚫ 国内のIPv4アドレスを使ったBGP経路全体のうち、ROAによってカバーされていてAPNIC観測点において
Validであるものは増加傾向にあり約67%に達している。日本国内においてはROVの導入例は少ないため不正経路の影響を小さくするために国内 ISP等におけるROVの導入が課題である。

Use of Route Object Validation for Japan (JP)https://stats.labs.apnic.net/roa/JP?o=cJPl0r1v4tadpxv&t=Address+Span&x=Valid&v=IPv4&d=Percent&l=1

Copyright © Mitsubishi Research Institute27

①RPKI②DNSSEC③DMARC【DMARC】認証技術の概要⚫ DMARC(Domain-based Message Authentication Reporting and Conformance) は、
電子メールにおける送信ドメイン認証技術の一つであり、 RFC7489で標準化されている。
⚫ DMARCは、「認証（IPアドレス(SPF)や電子署名(DKIM)を使ってなりすましメールかどうかを認証する技術）」と「分析（集計レポートする技術）」の2つの機能を活用し、「正しいメールを届けて、なりすましメールを削除する」ことを実現するものである。一方で、 ポリシー設定等を誤るとメールを受信できなくなるといった懸念もある。

本事業の「DMARC体験コース」より

DMARC導入に関する法的な留意点
https://www.soumu.go.jp/main_content/000495390.pdf
Copyright © Mitsubishi Research Institute28

①RPKI②DNSSEC③DMARC【DMARC】認証技術の普及状況⚫ 2023年1月25日のプルーフポイントの調査によると、アメリカは Fortune 1000企業のうち88%、
オーストラリアはASX200企業のうち77%、デンマークはOMXC25企業の100％がDMARCを導入しているが、日経255企業のDMARC対応率は31%にとどまっている。
⚫ さらに、DMARCポリシーをreject（拒絶する）またはquarantine（隔離する）としている企業は併せて6％にとどまっており、世界の主要企業に比べ、大幅に遅れている。
⚫ DMARCに関連する技術であるSPF、DKIMについては、SPF普及率は87.9％、
DKIM普及率は48.3％ *3 となっている。
⚫ 令和5年2月1日に、総務省・経済産業省・警察庁から、クレジットカード会社等に対してDMARCの導入を始めとするフィッシング対策強化を要請している *4 。

プルーフポイントの調査 2023年1月25日 https://www.proofpoint.com/jp/newsroom/press -releases/nikkei225-dmarc-implementation-rathio-2023*3 IIJ IIR vol.47 https://www.iij.ad.jp/dev/report/iir/047/01.html （２０２０年４月時点 IIJの受信メールに対する割合）*4クレジットカード会社等に対するフィッシング対策強化の要請 https://www.soumu.go.jp/menu_news/s -news/01kiban18_01000184.html
Copyright © Mitsubishi Research Institute29

①RPKI②DNSSEC③DMARCRPKI体験コースの結果⚫ 体験コースの主な内容である「RPKI・リソース証明書・ROA」、「オリジン検証」、「不正経路と ROVの体験」は各々53%～63%とそれぞれ課題認識が高い。
⚫ 体験コースの受講によって課題解消できた内容は、「 RPKI・リソース証明書・ROA」は60%であり、基礎的な内容については課題解消できている。
⚫ 一方、体験コースの情報だけでは課題解消できていないという回答は、「不正経路と ROVの体験」が33%と高く、他の実験コースなどの参加を推奨する必要 がある。
70%

60%

63%

60%
50%

57%

53%

40%

43%

43%

30%

30%

33%

20%
10%

13%

0%
RPKI・リソース証明書・ROA
課題と思う

課題解決

Copyright © Mitsubishi Research Institute

オリジン検証課題未解決
30

不正経路とROVの体験

①RPKI②DNSSEC③DMARCRPKI体験コースの結果⚫ 体験コースの受講の感想では、「 RPKIに技術について基礎的な知識が身につけられた」が73.3%であり、基礎的な知識を習得するために有効である。

⚫ 今後のRPKIの導入については、「導入を積極的に考えたい」33.3%、「導入に至るかわからないが前向きに考えたい」40%であった。

⚫ また、「RPKI技術導入の検討に大いに役立った」が16.7%であり、上記とあわせて90%である。

⚫ 「導入を検討するかどうか分からないが情報は積極的に得たい」が23.3%であり、「導入を積極的に考えたい」、「導入に至るかわからないが、 前向きに考えたい」とあわせると 90%以上と高く、実体験はRPKI普及の効果が見込める。

3.3%
6.7%

3.3%
16.7%
23.3%

73.3%

40.0%

RPKI技術導入の検討に大いに役立った
RPKIの技術についての基礎的な知識を身につけられたもう少し基礎的なことから知りたかった
もう少し専門的なことを知りたかった
今回の受講により、RPKI技術導入を検討しようと思った
自社の技術者や他の関係者にも受講させたいと思った
Copyright © Mitsubishi Research Institute

33.3%

導入を積極的に考えたい
導入に至るかは分からないが、前向きに考えたい
導入を検討するかどうか分からないが、情報は積極的に得たい
導入には消極的に捉えている導入は考えていない
31

①RPKI②DNSSEC③DMARC【RPKI】技術的課題の調査⚫ 各種認証技術等の導入における技術的課題について実証参加者よりいただいたご意見①RPKI
導入における技術
的課題についての意見⚫ 基礎・技術‐ RPKI/ROA/ROV に関する基 礎知識 の不足、正 常運用 ができ るのか 不明 とい う課

題・懸念が多い。
‐ 関連ソフトウェア・ハードウェア (ROAキャッシュサー バ、各社ルー タ、 ROVサー バ、及び搭載するオープンソー スソフトウェ ア） の動作の詳細が把握でき ていな い、不正な経路から守られているのかが み えない 等の課 題・懸 念も有 り。
‐ ROA キャッシュサ ーバの利用 時の設 定や設定 内容の 確 認方法 等 の課題・ 懸 念も有 り。

⚫ 運用・ノウハウ‐ ROAキャッシュサーバとの接続状況の変化 やInvalid 経路の分 析など 運用を 見越した内容を確認したいという意見も多い。
⚫ サービス提供・顧客視点‐ RPKIを導入することでサーバに アク セスできなくな った 際の顧 客の問 い合わ せ対応、顧客環境での確認、顧客を安心させる材料 などの 課題 等 の課題 ・懸念も 多い。
‐ 導入に不安を感じる点として、 もし顧客への経路が Inv alidにな ってしま った場 合の対処方法等に不安を持つという意 見も有 り。

Copyright © Mitsubishi Research Institute32

①RPKI②DNSSEC③DMARC【RPKI】 促進に向けた検討⚫ 各種認証技術等の導入促進に向けた課題に対する解決策の検討①RPKI
実証事業を通じて見出された課題⚫ 安全な設置・設定ができるガイドの要求に対する施策が必要＝ガイドラインの整備が必要⚫ 不正経路の検出・対策、ROV設定・構築・運用に対する体験や知見取得の要求を満たす
機会創出が必要＝実験環境の提供や実証作業・習得項目の創出が必要

今後の認証技術
普及の課題⚫ RPKIを導入している企業・組織の取組みを評価していく施策が必要

今年度の実証の課題と解決にむけた来年度の取組み⚫ RPKI導入組織が各々で検証するのではなく、パブリックなROAキャッシュサーバで検証する要求が多いため、構築や実現に向けた検討・課題整理が必要⚫ RPKIを導入している企業・組織のリスト化、公表・広報していく施策が必要⚫ 安全に設置・設定するためのガイドラインや手順書が求められている⚫ インターネット上の経路セキュリティの観点では、不正経路はドロップすることが望ましいが、
invalid経路をドロップすると個社が選択をするのが難しいため、共通認識や指標を求められている

Copyright © Mitsubishi Research Institute33

①RPKI②DNSSEC③DMARCDMARC体験コースの結果⚫ 体験コースの主な内容であった 12項目については、各々73.3%～93.3%と課題認識が高い。
⚫ 体験コースの受講によって課題解消できた内容は、「 SPFの概要」と「DKIMの概要」は100%、「メールの基礎知識」と「DMARCの概要」は90%超であり、基礎的な内容については課題解消できている。
⚫ 一方、体験コースの情報だけでは課題解消できていないという回答は、 「DMARCポリシー運用の概要」が38.5%と最も高く、他の実験コース等の参加を推奨する必要がある。
100%

100%

100%

80% 80%75% 73.3%

73.3%

93.3%
93.3%
92.9%

86.7%
84.6% 80%
78.6%
75%

90.9%
73.3%

86.7%

86.7%

76.9%

86.7%

80%

69.2%
61.5%

66.7%

60%
38.5%

40%
20%

30.8%
21.4%
8.3%
0

0%

課題と思う

7.1%

課題解決

Copyright © Mitsubishi Research Institute

0

0

課題未解決
34

25%
15.4%

23.1%

33.3%

①RPKI②DNSSEC③DMARCDMARC体験コースの結果⚫ 体験コースの受講の感想では、「 DMARCに技術について基礎的な知識が身につけられた」が 53.3%であり、基礎的な知識を習得するために有効である。

⚫ 今後のDMARCの導入については、「導入を積極的に考えたい」、「導入に至るか分からないが、前向きに考えたい」が合計で87%を占めた。

⚫ また、「DMARC技術導入の検討に大いに役立った」
が26.7％で、この2つの回答で80%を占める。

⚫ 「導入を検討するかどうかわからないが情報は積極的に得たい」が13%であり、「導入を積極的に考えたい」、「導入に至るか分からないが、前向きに考えたい」とあわせると 100%となり、DMARC普及の効果が見込める。

13.3%
6.7%

13%
26.7%

40%
47%

53.3%

DMARC技術導入の検討に大いに役立った
DMARCの技術についての基礎的な知識を身につけられたもう少し基礎的なことから知りたかった
もう少し専門的なことを知りたかった
今回の受講により、DMARC技術導入を検討しようと思った
自社の技術者や他の関係者にも受講させたいと思った
Copyright © Mitsubishi Research Institute

導入を積極的に考えたい
導入に至るかは分からないが、前向きに考えたい
導入を検討するかどうか分からないが、情報は積極的に得たい
導入には消極的に捉えている導入は考えていない
35

①RPKI②DNSSEC③DMARC【DMARC】 技術的課題の調査⚫ 各種認証技術等の導入における技術的課題について実証参加者よりいただいたご意見③DMARC
導入における技術
的課題についての意見⚫ 基礎・技術‐ DMARCレコードの設定と受信メールサ ーバ側・ レ ポート受 信の挙 動を確 認 等の 課

題・懸念が最も多い。
⚫ 運用・ノウハウ‐ サブドメインが多く運用・管理が大変 という意見が多い。
‐ DMARCレポートの記載情報の確 認、 DMARC レポ ートの 集計・ 可視化 、

DMARCレポート分析を元にした 原因 の切 り分け の方法 等の課 題・懸 念が多 い。
⚫ サービス提供・顧客視点‐ DMARC導入で正当なメールが届かなくなる 等 の課題 ・懸念 が多い。

‐ DMARC導入で正当なメールが届かなくなる懸念を抱く顧客への対応 、顧客環境での確認、顧客を安心させるため の材料 が欲しい と い った ISP事 業者
ならではの意見も有り。

Copyright © Mitsubishi Research Institute36

①RPKI②DNSSEC③DMARC【DMARC】 促進に向けた検討⚫ 各種認証技術等の導入促進に向けた課題に対する解決策の検討③DMARC
実証事業を通じて見出された課題⚫ 偽陽性（メーリングリスト・転送メールなど正規のメールが届かなくなる）への対応策・対処方法の要求に対する施策が必要＝ガイドラインの整備が必要⚫ DMARCポリシーの設定、DMARCレポートの分析等の知見取得を要求を満たす機会創出が必要＝実験環境の提供や実証作業・習得項目の創出が必要

今後の認証技術
普及の課題⚫ DMARCを導入している企業・組織の取組みを評価していく施策が必要

今年度の実証の課題と解決にむけた
来年度の取組み⚫ DMARCポリシーの決定方法、判断方法、どの段階でポリシーを高めるべきなのか、
その指針のようなものがガイドラインで示してほしいという意見があった

Copyright © Mitsubishi Research Institute⚫ DMARCを導入している企業・組織のリスト化、公表・広報していく施策が必要⚫ 最も多い懸念である偽陽性への対策、有効な設定等をガイドラインや手順書において示してもらいたいとの意見があった

37