JAPAN REGISTRY SERVICESＪＰＲＳ トピックス＆コラム

No. 003■ＤＤｏＳにあなたのＤＮＳサーバーが使われる～ＤＮＳリフレクター攻撃の脅威と対策～
インターネットに接続されている他人の機器をＤＤｏＳ攻撃の踏み台として悪用する「リフレクター攻撃」について、その概要とＤＮＳにおける事例・対策について解説します。
■ネットワークにおけるリフレクターリフレクター（reflector）の本来の意味は反射板です。

を特定しにくくなります1。
②

攻撃を大規模化できる

例えば、自動車に積まれる三角停止表示板や写真撮増幅率（問い合わせに対する応答のサイズ）の影で用いるレフ板は、光を反射するリフレクターです。

高いリフレクターを用いる、インターネット上の多数のリフレクターを同時に用いるといった手法にインターネット上でサービスを提供しているサーバーより、攻撃を大規模化できます。

は、利用者からの問い合わせに対応する形で応答を返します。つまり、それらのサーバーはネットワークにおけるリフレクターの一種であると言えます（図 1）。

攻撃者がリフレクター攻撃を効率良く実行するためには、以下の条件を満たしている必要があります。

問い合わせ

①

応答
利用者
（クライアント）■リフレクター攻撃成立の条件

通信プロトコルとして UDP を用いている場合、サーバー（リフレクターとして動作）TCP の場合に比べ、送信元 IP アドレスの詐称が容易になります。

図 1: インターネット上の通信■リフレクターを攻撃に悪用

送信元 IP アドレスの詐称が可能である②

リフレクターが多数存在している

リフレクター攻撃では、インターネットに接続されていそのプロトコルがインターネット上で広く利用さるリフレクター（サーバーなど）が攻撃に悪用されます。

れていればいるほど、悪用可能なリフレクターを具体的には、攻撃者が送信元の IP アドレスを偽装した発見できる可能性が高くなります。

問い合わせをリフレクターに送りつけることで攻撃目標に応答を誘導し、攻撃を間接的に実行します（図 2）。

③

リフレクターによる増幅率が高い
応答のサイズが問い合わせのサイズに対し大きい程、攻撃時の効率を高くできます。

攻撃者

送信元を偽装した問い合わせ■リフレクター攻撃に利用されやすいプロトコル
DNS や NTP2は前述した三つの条件をすべて満たしサーバー（リフレクター）ており、リフレクター攻撃に利用されやすいプロトコルであると言えます。そのため、それらの機能を持つサー攻撃目標

図 2: リフレクター攻撃■攻撃者から見たリフレクター攻撃のメリット

バーや機器をインターネットに接続する場合、リフレクター攻撃の踏み台とならないように適切に設定・運用する必要があります。

リフレクター攻撃には、目標を直接攻撃する場合に比べ、二つのメリットが存在します。
①

1 特定が不可能になるわけではなく、2013 年 3 月に発生した Spamhaus/

真の攻撃者を特定しにくくできる

CloudFlare を標的とした大規模なリフレクター攻撃では、攻撃の首謀者が逮捕・起訴されています。

間接的な攻撃形態であることから、真の攻撃者

2 Network Time Protocol: インターネットにおける時刻同期プロトコルとして、RFC 5905 で定義されています。

Copyright © 2014 株式会社日本レジストリサービス※掲載内容は2014年3月現在のものです。

1

JAPAN REGISTRY SERVICES■DNS リフレクター攻撃

指令を送信（遠隔操作）DNS サーバーにはキャッシュ DNS サーバーと権威送信元を攻撃目標に偽装した
DNS問い合わせを同時送信

多数のオープンリゾルバーをリフレクターとして悪用

攻撃者

DNS サーバーの二種類がありますが、これらはいずれオープンリゾルバーもリフレクター攻撃に悪用される可能性があります。

▼オープンリゾルバーによる攻撃

オープンリゾルバー
攻撃目標

キャッシュ DNS サーバーは組織内からの DNS 問い合わせを受け付けてインターネット上の権威 DNS サー
バーを検索する、名前解決機能を提供します（図 3）。
②名前解決（DNS検索）

ルートサーバーキャッシュDNSサーバーが組織内の利用者からのDNS問い合わせを受け付け、インターネット上の権威DNSサーバーを検索

example.jp
DNSサーバー
権威DNSサーバー群③DNS応答キャッシュDNSサーバー

JP DNSサーバー

図 5: オープンリゾルバーによる DNS リフレクター攻撃2012 年頃から、権威 DNS サーバーを DNS リフレク
ター攻撃に悪用する事例が報告され始めています①DNS問い合わせ（www.example.jpのIPアドレスは？）オープンリゾルバー▼権威 DNS サーバーによる攻撃

組織内ネットワーク

インターネットBotnet（遠隔操作された大量のPC）

利用者（図 6）。権威 DNS サーバーはキャッシュ DNS サーバー

（192.0.2.1です）と異なり事前のアクセスコントロールの適用が難しく4 、オープンリゾルバーの場合とは異なる対策が必要にな④目的のWebサイトにアクセス（192.0.2.1に接続）

Webサーバー
www.example.jp
IPアドレス：192.0.2.1

ります。
指令を送信
（遠隔操作）

図 3: キャッシュ DNS サーバーの役割

しかし、インターネット上には本来制限すべき外部の攻撃者

送信元を攻撃目標に偽装した
DNS問い合わせを大量送信

利用者からの DNS 問い合わせも処理してしまう、オープンリゾルバーが多数存在しています3（図 4）。
Botnet（遠隔操作された大量のPC）

組織内ネットワーク

インターネット

本来は制限すべき外部の利用者からの問い合わせも処理してしまう、不適切な状態のキャッシュDNSサーバー

外部の利用者

DNS応答

オープンリゾルバー

DNS応答

攻撃目標

図 6: 権威 DNS サーバーによる DNS リフレクター攻撃■攻撃対策

DNS問い合わせDNS問い合わせ権威DNSサーバー利用者

図 4: オープンリゾルバー

オープンリゾルバーは DNS リフレクター攻撃の踏み台となりやすく、きわめて危険な存在です（図 5）。

▼オープンリゾルバーの種類

DNS リフレクター攻撃への対策には、以下の三つが有効です。
① ネットワークにおける送信元検証の適用
送信元を詐称したデータがインターネット上に送られないように、ネットワーク側で設定する。
② キャッシュ DNS サーバーにおける設定修正

オープンリゾルバーには本来不要な名前解決機能設定を修正し、オープンリゾルバーでなくす。

が有効にされてしまっている権威 DNS サーバーや、③ 権威 DNS サーバーにおける DNS RRL5の導入

WAN 側からの DNS 問い合わせも処理してしまうホーム防御技術である DNS RRL を導入する。

ルーターなども含まれています。これらはいずれも不適対策の詳細については JPRS Web で公開している技

切な状態であり、設定の修正などが必要になります。

術解説「DNS Reflector Attacks（DNS リフレクター攻撃）について」をご参照ください。

3 2014 年 3 月時点で、世界中に 2,300 万台以上のオープンリゾルバーが存在していると報告されています（openresolverproject.org 調べ）。

4 サービス対象がインターネット全体となるため。
5 Response Rate Limiting

Copyright © 2014 株式会社日本レジストリサービス ※すべてのコラムは http://jprs.jp/related-info/guide/ でご覧いただけます。 2