ソリューションブリーフ
Always Secure. Always Available.

ネットワークサービスの基幹となるDNS のセキュリティ強化
DNS over TLS/HTTPS や DNS RPZ に対応したセキュアで可用性の高い DNS サービスの実現
DNS セキュリティの必要性

インターネットを通じたコミュニケーションは、宛先サーバーのドメイン名を IP アドレスに変換する
DNS（Domain Name System）に大きく依存しています。近年利用が拡大しているクラウドサービス

においても、サービスへのアクセスはドメイン名を通じて行われており、高速なネットワークアクセスを実現するために Web サービスやクラウドサービスにおいて広く利用されているコンテンツ配信ネットワークのサービスもDNS に大きく依存しています。ひとたび DNS に障害が発生すると、インターネット
RPZフィード上のWebトサーバーなどへのアクセスは容易に阻害されてしまいます。
現に、2016 年に DNS サービス
クライアン
DNSサーバー

RPZ適用を提供する会社に大規模なDDoS 攻撃が行われた際には、多くの Web サービスやクラウドサービス
DNSクエリ
DNSクエリへのアクセスが出来なくなった事態が発生しました。また、アンプ攻撃と呼ばれるタイプの DDoS 攻

撃にオープンな DNSリゾルバが他のサービスに対する攻撃元として利用されたり、攻撃者が DNS の修正された
A10 Thunder
DNS応答
RPZ適用
DNS応答
TXT 応答に悪意のあるコードを埋め込んだりすることもあります。
そのため、DNS には高い可用性とセキュリティが求められます。

DNS はインターネットの初期から利用されてきたこともあり、通信の秘匿性に関してこれまで不十分な面がありました。例えば、通信が暗号化された HTTPS で Web サーバーにアクセスする場合においても、DNS への Web サーバーの名前解決の問い合わせ（クエリ）と応答はデフォルトでは平文で通信され、通信を盗聴することでクライアントのアクセス先に関わる情報が取得でき、悪意のある犯罪者や組織がユーザーの行動履歴を容易に追跡できてしまいます。平文で通信がやり取りされるため、その通信に介入してクエリに対して偽の応答を返すことでユーザーのアクセス先を変更する攻撃なども可能です。これらの問題に対処し通信の秘匿性を高める方法として、近年 DNS クエリと応答を暗号化された通信経路でやり取りするDNS over TLS（DoT）やDNS over HTTPS（DoH）が標準化されました。

クライアントからのマルウェアサイトやフィッシングサイトへのアクセスや、マルウェア等に感染した端末からの C&C サーバー等に対するアクセスにおいてもDNS が利用されることにも注意が必要です。これに対応するために DNS RPZ（Response Policy Zones）を利用し、脅威インテリジェンスと連携して悪意のあるサイトへアクセスするための DNS クエリに対する応答を無効化する方法が考えられています。

DNS over TLS とDNS over HTTPS の実現

A10 ネットワークスの A10 Thunder シリーズをDNS サーバーの前段に配置することで、既存の DNSサーバーの構成を変更することなく、DoTやDoH を実現できます（図 1）。この構成では A10 Thunder が課題：

• DNS サーバーの通信経路のセキュリティ強化のための DNS over TLS（DoT）や
DNS over HTTPS（DoH）の実現• DNS サーバーを利用しているクライアントの悪意のあるサイトへのアクセスの防止• DNS サーバーそのものへの攻撃や DNS の悪用に対する防御解決策：• A10 Thunder シリーズを DNS サーバーの前段で利用し、DoT/DoH を実現• DNS RPZ（Response Policy Zones）により、悪 意 の あるサイトに 関 する名 前 解 決 を検知し防御• DNSクエリのフィルタリング、DNSレスポンス
レートリミットなどによるDNS サーバーへの攻撃と悪用に対する防御

メリット：• A10 Thunder シリーズを導 入するだ けで既存の DNS サーバーの構成を変更せずにDoT/DoH の実装が可能• サードパーティの脅威インテリジェンスを利用することで、効果的な DNS RPZ を実現

DoT や DoH を用いた DNS クエリを終端し、TLS や HTTPS による暗号化通信を復号した後に後段の• DNS 向けのセキュリティ機能が高性能なしてクライアントへ送信します。A10 Thunder は独自 OS や専用ハードウェアの活用により高速な暗能と統合されていることによる高セキュリ

DNS サーバーに通常の DNS クエリとして転送します。クエリに対する応答は A10 Thunder が暗号化号化 / 復号処理を実現でき、高い TLS オフロード性能を持ちます。これにより、DNS サーバー側ではTLS の処理を行う必要がなくなります。また、DNS サーバーの負荷分散により、DNS の可用性を高めることもできます。後述する各種の DNS 向けのセキュリティ機能を併せて利用すると、クエリ/ 応答の通信の秘匿性を高めるだけでなく、DNS サーバーそのものの防御も併せて実現できます。
クライアントDNS over TLS

DNS over HTTPS

A10 Thunder

DNSサーバーDNS

図 1：A10 Thunder による DNS over TLS/HTTPS の実現

サーバー負荷分散や TLS オフロードとの機

ティ・高可用性と高い ROI の実現

DNS RPZ への対応

また、A10 Thunder CFW を利 用することで、ADC 機 能 に加えて L4 ス

A10 Thunder は DNS RPZ にも対応しており、DNSファイアウォールとしテートフルファイアウォール機能を併せて利用でき、DNS サービスに対するしたり書き換えたりすることで、実際のアクセスを止めることができます

タイムで提供される脅威インテリジェンスサービスなどと連携することで、サイトへのアクセスや、感染した端末からの C&C サーバーへのアクセススを効果的に防御できます。

アクセスのセキュリティをさらに強化できます。最新の脅威情報がリアルてクライアントの不正なサイトへのアクセスに伴うDNS クエリを無効化

C&C サーバーやオープンリゾルバなどの不正な IP アドレスからのアクセ（図 2）。これによりマルウェアサイトやフィッシングサイトのような不正をブロックできます。DNS RPZ で利用できるフィードはユーザーが定義しA10 Thunder は前述した独自 OS や専用ハードウェアを利用することで、て利用するだけでなく、サードパーティ製の脅威インテリジェンスも利用

コンパクトな筐 体でも非 常に高いサーバー負 荷 分 散 性 能、ファイアでき、効果的な防御を実現できます。DNS クエリに対し、多様な条件とウォール処理性能を有します。また、これらの機能を 1 つの筐体で提供すアクションに基づく柔軟な対応が可能です。

ることで、ラックスペースや電力消費、利用するリソースなどが抑えられ、ランニングコストを抑えることができ、高い ROI に繋がります。仮想イン
スタンスやコンテナでも利用でき、1 つの仮想インスタンスやコンテナでクライアント

DNSクエリ

RPZフィード

RPZ適用

修正された
DNS応答

A10 Thunder

DNSクエリ

100Gbps 以上のスループットを実現できます。

DNSサーバーまとめ

A10 Thunder を利用することで、インターネットの利用拡大やクラウドサービスの活用において一層重要性が増している DNS のインフラに対DNS応答

RPZ適用する効果的なセキュリティ強化を実現できます。DNS までの通信経路を暗号化する DoT や DoH に対応できるだけでなく、DNS RPZ の利用によ

図 2：A10 Thunder での DNS Response Policy Zone（RPZ）の利用

り不正サイトへのアクセスや不正なクライアントからのクエリを防止でき、各種の DNS セキュリティ機能を併用することで DNS サーバーそのものへ

DNS サーバーへの攻撃や悪用に対する防御の攻撃や DNS の悪用を防御できます。A10 Thunder に集約された ADC

アプリケーション配信コントローラ（Application Delivery Controller;機能やファイアウォール機能との併用により高速な DNS レスポンスや高ADC）の機能や DNS アプリケーションファイアウォールの機能が併せて利可用性の実現、DDoS 攻撃に対する防御も併せて実現できます。

用できることも、A10 Thunder を DNS サーバーの前段に配置する利点となります。ADC の機能によって以下が実現できます。

A10 Networks / A10 ネットワークス株式会社について

A10 Networks（ NYSE: ATEN）は、サービス事業者やクラウド事業者およ• DNS サーバーの負荷分散による高可用性や高速なレスポンスの実現

び企業で利用される5G ネットワークやマルチクラウドアプリケーションの• DNS 応答のキャッシュによる DNS サーバーの負荷軽減

セキュリティを確保します。高度な分析や機械学習、インテリジェントな自動化機能により、ミッションクリティカルなアプリケーションを保護し、• 後段の DNS サーバーがダウンした際や不完全な応答を返す場合の信頼性と可用性を担保します。A10 Networks は 2004 年に設立されました。

Thunder 自身による権威 DNS サーバーへの再帰問い合わせによる

米国カリフォルニア州サンノゼに本拠地を置き、世界 117 か国のお客様にサービスの可用性の維持サービスを提供しています。

• コネクションレートの制限による不正な大量アクセスからの防御

A10 ネットワークス株式会社は A10 Networks の日本子会社であり、お客• ブラックリストに基づく不正な IP アドレスからの接続拒否様の意見や要望を積極的に取り入れ、革新的なアプリケーションネット

• 接続元となる DNS サーバーの認証による不特定多数からのアクセスワーキングソリューションをご提供することを使命としています。

制御

www.a10networks.co.jp/• DDoS 攻撃防御機能による不正な DNS クエリや DNS アンプ攻撃にFacebook：https://www.facebook.com/A10networksjapan

対する防御• DNSクエリのフィルタ機能による、指定したクエリタイプのリクエストのドロップ

クライアントDNS over TLS

DNS over HTTPS

Learn More
About A10 Networks
お問い合わせa10networks.co.jp/contact

A10 Thunder

DNSサーバー
DNS

A10ネットワークス株式会社
www.a10networks.co.jp
a10networks.co.jp/contact©2021 A10 Networks, Inc. All rights reserved. A10 ロゴ、
A10 Networksは米国およびその他各国におけるA10 Networks, Inc. の商標または登録商標です。
その他上記の全ての商品およびサービスの名称はそれら各社の商標です。A10 Networks は本書の誤りに関して責任を負いません。A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。
製品の仕様や機能は、変更する場合がございますので、ご注意ください。商標について詳しくはホームページをご覧ください。
www.a10networks.com/a10-trademarks
Part Number: A10_SB_DNS Oct 2021