［ 追跡レポート ]ル ー ト ネ ー ム サ ー バ ー に何が起

こったか？

﹁事件﹂
からサイバーテロを考える︒

1. DNSの仕組み
ルートネームサーバー.
DNSサーバー

･･･

2jp

3
あるマシンAがwww.amazon.comと通信しor

cocomorg

4

たいとき、Aで設定したドメインネームサーバー（ここではimpress.co.jpのDNSサーバー）に、

5

www.amazon.comのIPアドレスを問い合わせる（1）。問い合わせを受けたimperss.co.jpの DNS サーバーは、まずルートネームサーバ

impressーに.comを管理するDNSサーバーのありかDNSサーバーのありかを問い合わせる
（4、5）
。

8

1

これを順に繰り返し（6、7）、Aは最終的に最初に問い合わせをしたDNSサーバーから目的のマシンのIPアドレスを受け取って（8）通信

A9する
（9）
。

140 +++ internet magazine +++amazon7を問い合わせる（2、3）。次に.comを管理するDNSサーバーにamazon.comを管理する

6

www.amazon.com

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D･･･

サイバーテロの可能性がインターネからのクエリーに対して「impress.co.jp」とに思います。東京のMサーバーがもっともット上でささやかれるようになった。

いったウェブサイトのドメイン名から数字で影響を受けたうちの1つという報道もあっ

去る2002年10月にはルートネーム表わされるIPアドレス（「202.173.173.**」

たようですが、そうしたトラブル報告はないサーバーが一斉に攻撃される事件がなど）へ変換するための重要な役割を担う。

ですね。M サーバーのログを見ると確か

具体的には、階層構造を持つDNSの最上に、攻撃されていた時間には、通常のクエ起こった。果たしてこれはサイバーテロなのか、その警鐘なのか――。
text: 井上俊幸

位に位置し、.com や.jp などのトップレベリーに対して半分ぐらいしか応答できていルドメインを管理する DNS サーバーの IPなかったのですが、日本では早朝というこアドレスを解決するのに使われる。すなわともあり、一般のユーザーに対する影響はち、インターネットの根幹を成すサーバー軽微なものだったと思います」
被害が大きくなかったのには、DNSの仕だとも言える。

■攻撃された13のサーバー

AからMまで名前が割り振られた13の組みによるところも多いようだ。

日本時間10月22日早朝、世界中にあるルートネームサーバーのうち米国にあるの「DNSはキャッシュが命なんです。頻繁

全13のルートネームサーバーに、過去最大は10システム。それ以外はヨーロッパに2にアクセスされるドメイン名のデータは、規模の運用妨害攻撃が一斉に仕掛けられつと日本に1つが配置されている。それぞ

実際にはDNSサーバーにキャッシュされてた。これは DoS（Denial of Service）攻撃

れのサーバーの管理・運用は別々の組織いるので、わざわざルートネームサーバーと呼ばれるもので、AP通信によれば攻撃でなされており、東京にある「M」ルートネまで問い合わせることは少ない」（加藤氏）

は約1時間続き、13あるルートネームサーームサ ー バ ー（ 以 下 、M サ ー バ ー ）は 、

たとえ大打撃を受けたとしても、Y2K問バーのうち、9つに短時間の障害が起こっ

WIDEプロジェクトが管理している。

題のときの検証で、問い合わせの量やサていたことが米国連邦当局によって明らか

今回の攻撃について、Mサーバーを運用ーバーの能力などを勘案した場合、13 シにされたと伝えている。ただ、今回のDoSするWIDEプロジェクトの加藤朗氏は次のステムのうち3分の1が正常に稼動してい攻撃による影響は重大なものではなく、ほように語る。

れば通常のサービスには大きな影響はな

とんどのユーザーが気づかなかい程度の「われわれが知るところによると13台にいと言われている。

ものだったという。

一斉に攻撃が仕掛けられたようです。ただ、だらかといって、この問題を軽視してい今回に関しては大きな被害はなかったようるわけではないようだ。
「今回のDoS攻撃

ルートネームサーバーは、DNSサーバー

ルートネームサーバーは13あり、それぞれが世界中（そのほとんどが米国）に分

2. ルートネームサーバーのありか散して運営されている。米国以外には、ストックホルム（I）、ロンドン（K）、東京（M）に存在する。13という制約はプロトコル上の問題で、今後、インターネッ
ト上のDNSサーバーすべてが新しいプロトコルを使うようなことになれば、さEFらに数が増える可能性がある。

I
K

名前

組織

場所

A

ベリサイン

ハードン
（米バージニア州）

B

南カリフォルニア大学/ISI

マリナデルレイ（米カリフォルニア州）

C

PSInetハードン（米バージニア州）

D

メリーランド大学

カレッジパーク（米メリーランド）

E

NASA

マウンテンビュー（米カリフォルニア州）

F

ISC

パロアルト
（米カリフォルニア州）

G

国防情報システム局

ビエナ（米バージニア州）

H

US Army Research Laboratory

アバディーン（米メリーランド州）

I

NORDUnet

ストックホルム（スウェーデン）J（ベリサイン）

Aと同じ場所

K

RIPE

ロンドン
（イギリス）L

ICANN

マリナデルレイ（米カリフォルニア州）

M

WIDE

東京（日本）

B
L
M

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&DACDGH
J+++ internet magazine +++141

はイタズラ程度」と片付けながらも、加藤になることでデータ通信に遅延が生じたの上限は 512バイト というのに起因して

氏は「サイバーテロのようなものが将来あり、サーバーがダウンしたりすることは、単います。このパケットサイズの制約で13まる可能性は否定できない」と言う。ネットに迷惑という以外にも具体的な経済的被でしかルートネームサーバーは増やせないワーク上での攻撃もさることながら、物理害を発生させる。

んです。ただ、現在のプロトコルでは2048

今回の事件で用いられた手口は、DoS攻バイトのパケットを扱えるものもあって理年の9・11を思い出せば「ない」とは言え撃 の 典 型 的 手 法 であるスマーフ 攻 撃論上は増やせます。ですが、インターネッない。もしすべてのルートネームサーバー（Smarf attack）が利用され、標的を一斉ト上には古い DNS サーバーも多いので、がダウンしてしまったら、キャッシュにデーに 複 数 の 攻 撃 元 から 攻 撃 する D D o S

すぐに実装するというわけにはいかないのタが残っていても2日程度でドメイン名か（Distributed Denial of Service）攻撃だっが現状です」（前出の加藤氏）

らIPアドレスを割り出せなくなると言う。

たと考えられている。ただ、DNSサーバー

だからといって手をこまねいて、見ていのシステム自体に弾力性があったことからるわけではない。Mサーバーでは、複数の前述のように大きな被害にはならなかった。

サーバーに負荷を分散する体制を整え、だが、実際に13のルートネームサーバーをセキュリティーに関しても対策を取っていところで、今回受けたDoS攻撃とはいっダウンさせることは理論的には可能であり、る。また東京地区での大災害時には、西たいどのようなものなのだろうか。コンピ

また攻撃犯の特定は非常に難しいという。

日本に設置してあるサーバーが機能を代的にコンピュータが攻撃される可能性も昨■手法は古典的だが防ぐのは困難行できるようにしている。

ュータ緊急対応センター（JPCERT/CC）によれば、DoS攻撃とは一般に「大量のパケ■「13」はプロトコルの制約ットを送信してネットワーク資源を浪費さ■バラバラな管理体制の意味せたり、サーバープログラムの弱点を悪用そもそもルートネームサーバーが13しかしたりしてサービス自体を停止させ、サイないという問題もある。13以上、たとえばトのネットワーク運用やホストのサービス100とかそれ以上のサーバーがあれば、こンターネットの中核的存在であるならば、運用を妨害する攻撃」と定義される。のような懸念もなくなるはずだが――。

「.jp」という日本のドメイン名の中核にあるインターネットなどの電子ネットワークを「13というのは、DNSのプロトコル上のサーバーも、日本という規模を見たときに構成する機器（ルーター）が過負荷の状態制約なんです。DNSが使うパケットサイズは大きな意味を持つ。では、.jpの管理体

ルートネームサーバーが世界におけるイ

3. ルートネームサーバーのトラフィック

ルートネームサーバーのトラフィックの様子。基本的には定常的にトラフィックが流れている。ただし、この約8割は不必要なクエリーだということだ。これを減らすためには、各DNSサーバー運用者の正しい管理知識が求められるという。

142 +++ internet magazine +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

制はどのようになっているのだろうか。.jp

いがあります。統一された考え方や方法での ルートネームサーバー に相当する.jp

管理するのは効率良く見えるかもしれませ

ゾーンの DNS サーバーを管理する JPRS

んが、今回ルートネームサーバーが受けた

今回のルートネームサーバーへの攻撃はにも話を聞いた。

ような攻撃の場合、全部が同時に壊滅して一部では大きな反響を持って迎え入れら「われわれも、ルートネームサーバーとしまう恐れも高くなる。その点、統一されれ、サイバーテロの可能性もささやかれ始同じような危機があることは考えています。ていないとどこかがダメージを受けても、めている。だが、実のところこういった攻

ただ、幸い過去にそのような攻撃はありま全体としては機能し続けられるのです」

撃には、ユーザーとしてのわれわれにも大■ユーザーも大きな役割を果たすせん。また、ルートネームサーバーが13あ

ただ、このままバラバラで良いかというきな責任がある。DoS 攻撃はそれぞれのるように、.jpゾーンにもDNSサーバーが6と、必ずしもそれがベストではないというユーザーが機器の設定やセキュリティー情つあります。この 6つは JPRS、JPNIC 以意見もあるらしい。JPRSの佐野晋氏（代報に気を配ることでかなり軽減できる。な外にプロバイダーや学術団体など別々の表取締役副社長）が続ける。

ぜなら、DoS攻撃は犯人の機器やアドレス組織によって運営されています」（JPRSシ「非統一であるというのは、インターネッから直接仕掛けられることはなく、ユーザステム部システムグループグループマネー

ト発展の歴史的経緯による部分も大きい。

ーが使用している個々の機器を踏み台にジャー・佐藤新太氏）。

インターネットの世界では、元来がボランして行われるからだ。そのために、パソコもちろん、セキュリティー対策も考慮しティアで役割を担うというのが不文律だっン上のソフトウェアを更新するなどして、セており、ネットワークの輻輳を起こすようた。しかし、裏返せば、リスクやコスト、ポキュリティー上の弱点を塞いでおくことはな攻撃に対しては、比較的システムは堅牢リシーなどを誰がどのように負担し、決定当然のこと、ルーターのような周辺機器にだと言う。なによりも、ルートサーバーをするかということが不明確なままできてしついても、設定を見直したり、必要に応じはじめとして、主要なDNSサーバーがバラまったのです。この点については議論が必て最新のファームウェアにアップデートしバラに管理されているのには、ちゃんとし要だとは思う。しかし、一方では、ボランたりする適切なセキュリティー対策が必要た理由がある。JPRSの佐藤氏が言う。

ティアベースで不明確なままでも実際にとなのだ。それだけでも、知らぬ間にDoS攻「管理する組織も、マシンの選定もそれても上手く機能しているので、その体制を撃の踏み台にされる確率を下げられる。

ぞれに異なるというのは、1つには多様性変えていくのはとても難しいというのがによってリスクをヘッジするという意味合

現状です」

スマーフ攻撃とは、ICMP Echoというネットワー――サイバーテロが起こるのならば、それはわれわれの問題でもあるかもしれない。

4. スマーフ攻撃の手口

攻撃対象のコンピュータ

A

ク管理用のパケットを使ったDDoS攻撃の一種。
ICMP Echoパケットを受け取ったコンピュータは、送信元のコンピュータにICMP Echo Replyパケットを送り返す。これを悪用して、不特定多数のコンピュータからICMP Echo Replyパケットを送り返すようにしたのがスマーフ攻撃というものだ。さらにブロードキャストというネットワークにつながったコンピュータすべてにパケットを送る方法がある。
この2つの方法を組み合わせたのがスマーフアン
プ攻撃である。
具体的には、攻撃元のコンピュータは、送信元のIP アドレスを攻撃対象のコンピュータの IP アドレスに偽装した ICMP Echoパケットをネットワークにブロードキャストする。すると、ネットワークにつながったコンピュータがいっせいに、攻撃対象のコすべてのコンピュータがAに応答を返すンピュータに ICMP Echo Replyパケットを返す（1つのパケットが増幅される）。これによって攻撃されたホストは大打撃を受けるのである。攻撃元のコンピュータがあればあるほどネットワークの輻送信元をAのアドレスに偽装B
攻撃元のコンピュータ輳が増える。一般に攻撃元のコンピュータは攻撃犯によってクラックされたものである。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine +++143

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.