ソリューションブリーフ

DNSアプリケーションファイアウォール
A10 Thunder シリーズによる
DNS インフラストラクチャー保護とパフォーマンス最適化
インターネット通信のほぼすべての機能は、Web サイトの閲覧から電子メールの送信や課題者によってサービスプロバイダーの DNS サーバーへのアクセスが遮断されると、そのサービスを妨害したり、DNS サーバーを強ファイル転送にいたるまで、DNS サーバーによるドメイン名解決を必要とします。攻撃

サービスプロバイダーの加入者はインターネットへのアクセスや VoIP 通話などを行うことが実質的にできなくなります。同様に、企業の DNS インフラストラクチャーが正常に機能しなくなった場合は、インターネットユーザーはその企業の Web サーバーやメールサーバーなどの重要なサーバーにアクセスできなくなります。

サイバー犯罪者や政治的ハッカーは、ユーザーを通信不能にする方法だけでなく、DNS サーバーを他の目的に悪用する方法も知っています。たとえばこれらの攻撃者は、DNS サーバーのキャッシュを改ざんして正規ユーザーを不正なサイトに誘導できます。

さらに、DNS サーバーを悪用して分散サービス拒否（DDoS）攻撃の規模を拡大するこ攻撃者はDNSインフラストラクチャーを標的に、力な DDoS 攻撃の踏み台として悪用

ソリューション

A10 Thunder シリーズは、強力かつ包括的なDNSアプリケーションファイアウォールによってDNS インフラストラクチャーを攻撃から保護ともできます。DNS アンプ攻撃は DDoS 攻撃の規模を最大 54 倍 1 に拡大できるため、利点

模な DDoS 攻撃の多くはアンプ攻撃でした。

• 無効なトラフィックを削除したりDNS応答を攻撃者が大規模な DDoS 攻撃を実行するための簡単な手段となります。近年の大規
A10 ネットワークスの A10 Thunder シリーズは、あらゆる種類の DNS の脅威からの包括的で強力な防御を可能にします。A10 Thunder シリーズは、処理負荷の大きいネットワーキングタスクを処理できるように設計されています。Advanced Core OperatingSystem（ACOS®）をベースにした Thunder ADC は、共有メモリーアーキテクチャーとFlexible Traﬃc Accelerator（ FTA）を活用して極めて高いパフォーマンスを実現します。
A10 Thunder シリーズの DNSアプリケーションファイアウォールの機能は次のとおりです。
• 直接の DNS 攻撃や脆弱性攻撃からインフラストラクチャーを保護して、企業の信用低下や訴訟リスクを回避します。

• 不正なソースからの要求をブロックして、インフラストラクチャーが第三者に対する攻撃の踏み台にされることを防止します。

• ロードバランシングとキャッシングによってDNSのパフォーマンスと可用性を最適化します。
• A10 の高性能な ACOS オペレーティングシステムによって大規模な DDoS 攻撃に耐えます。

• プロトコル検証によって DNS サーバーの負荷を最大 70% 軽減します。

• 業界標準のDNS セキュリティ拡張機能（DNSSEC）のパススルーサポートを実現します。

1

UDPベースのアンプ攻撃：https://www.us-cert.gov/ncas/alerts/TA14-017A© 2024 A10 Networks, Inc. All rights reserved.

• DNSサーバーを標的にしたDDoS攻撃を防御キャッシュに保存することで、DNSサーバーへの負荷を最大70%軽減• ロードバランシングと高可用性によりアップタイムを最大化• ラックマウント可能な1台のアプライアンスで毎秒2500万件のDNSクエリーを処理する拡張性を実現DNSアプリケーションファイアウォール | SOLUTION BRIEF

高まる DNS セキュリティ脅威

A10 ネットワークスのThunder シリーズソリューション

2 つの理由があります。1 つ目は、攻撃者にとってDNS サーバー踏み台になったり、不正な形式の要求を送りつけられたりという形で、課題

DNSサーバーが不名誉にも主要な攻撃ターゲットとなったことにはをオフラインにすることは、多数のインターネットユーザーをインターネットにアクセス不能にするための簡単な手段であるからです。
攻撃者がサービスプロバイダーの DNS サーバーを応答不能にした場合、そのサービスプロバイダーの加入者はドメイン名の解決、Web サイトへのアクセス、電子メールの送信といった重要なインターネットサービスを利用できなくなります。DNS 攻撃はこれまでにも、多くのサービスプロバイダーの DNS サービスを何時間あるいは何日にもわたってダウンさせたことがあり、極端なケースでは、加入者による集団訴訟を引き起こしたこともあります。攻撃者によって DNS インフラストラクチャーへのアクセスが遮断されて、ユーザーが重要なサービスを利用できなくなった場合は、企業の収益が減少したりブランドが損なわれたりする可能性があります。

さらに、攻撃者は DNS サーバーを利用して DDoS 攻撃を増幅させることができます。DNSリフレクション攻撃の場合は、攻撃者は実際の攻撃ターゲットの IP アドレスをスプーフィング（偽装）します。
攻撃者が送信するクエリーの指示に従って、DNSサーバーは多数のDNS サーバーに反復的にクエリーを送信したり、大量の応答を攻撃ターゲットに送信したりします。その結果、多数の強力な DNSサーバーから送信されてくるDNSトラフィックによって、攻撃ターゲットのネットワークが飽和状態になります。

DNS サーバーは、直接の攻撃ターゲットになったり、アンプ攻撃の攻撃を受けます。ほとんどの組織では、DNS サーバーを監視したり最先端の攻撃からDNS サーバーを保護したりするために必要なレベルのセキュリティ対策が導入されていないため、DNS インフラストラクチャーは攻撃に対して無防備なままになっています。

DNS サーバーを保護するためには、多数の脅威を抑制できるととともに、卓越したアプリケーションパフォーマンスを実現できるDNS アプリケーションファイアウォール（DAF）を導入する必要があります。それを実現するのが A10 Thunder シリーズです。
A10 Thunder シリーズは、共有メモリーアーキテクチャーと64ビットの拡張性を活用して高速で強力な保護を実現します。

A10 Thunder シリーズの一部として、A10 ネットワークスは強力な統合型 DNS アプリケーションファイアウォールを提供しています。

DNSアプリケーションファイアウォールは、バッファーオーバーフロー、不正な形式の要求、およびサービス拒否（DoS）攻撃を防止して、DNS サーバーを攻撃から保護します。さらに、A10 Thunder シ

リーズは複数の DNS サーバーをロードバランシングすることや、DNS 応答をキャッシングすることもできるため、DNS サーバーが大きな負荷や大規模な攻撃に対処することを可能にする拡張性も提供します。

DNS サーバーが攻撃の最終ターゲットでない場合でも、DNSリ機能と利点害が発生する可能性があります。DNS はすべての DDoS 攻撃のにより、組織では以下のことが可能になります。

フレクション攻撃の結果として DNS サーバーのダウンタイムや障8.95% を占めているため 2、DNS サーバーをホストしている組織は自身の DNS インフラストラクチャーを保護する必要があります。

DNSCPU使用率100%

小規模な要求大量の応答

A10 Thunder シリーズの DNS アプリケーションファイアウォール• 重要な DNS サーバーを直接攻撃や脆弱性攻撃から保護

DNS アプリケーションファイアウォールは不正な形式の DNS要求をブロックして、DNS インフラストラクチャーをバッファーオーバーフローや DoS から保護します。さらに、IP ベースの接続レート制限と同時接続制御によって DDoS 攻撃を抑制します。
ポリシーベースのサーバーロードバランシング（PBSLB）
によって、

A10 は既知の不正なソースからの要求をブロックできます。

お客様は、最大 800 万件のIPアドレスのリストをインポートして、正当な要求が拒否されるユーザーをブラックリストに登録したり、既知の信頼できるソースのみにアクセスを許可することが可能です。

攻撃ターゲットは麻痺状態になる「ゾンビ」と化した感染クライアントから多数の要求が発行される

2

正規のクライアントへの応答停止

図1：DNSアンプ攻撃© 2024 A10 Networks, Inc. All rights reserved.

• DNS アンプ攻撃を阻止し評判低下や信用失墜を回避

攻撃者は DNS サーバーを悪用して DDoS 攻撃を増幅するため、組織は自身のサーバーが他組織に対する攻撃の踏み台にされ2

Prolexic Global DDoS Attack Report（2014年）

DNSアプリケーションファイアウォール | SOLUTION BRIEF

ポート53経由の不正/無効な非DNSトラフィック

拒否「ゾンビ」と化した
感染クライアントから多数の要求が発行される

DNSサーバー

DDoS攻撃のための小サイズの要求

トラフィック
急増からの保護許可

DDoS攻撃のターゲットは麻痺状態にならない

正規クライアントからの正当な要求

通常のCPU使用率

正当な要求

必要に応じて不正/無効なトラフィックをリダイレクト

図2： 組み込み型のDNSアプリケーションファイアウォールによって、A10 Thunderシリーズは既知の不正なクライアントからの攻撃、非DNSトラフィック、およびDNSクエリーを検知可能ることを防止する必要があります。A10 の DNS アプリケーション

ファイアウォールは接続レート制限をサポートしているだけでなく、• DNSSEC セキュリティ拡張機能を適用してDNS データを検証

A10 Thunder シリーズの DNS アプリケーションファイアウォー

ソースIP アドレスに基づいてトラフィックを制限できます。

ルは、検証済みのDNSSECパススルーサポートを通じて、組織がA10 ネットワークスの aFleX® ディープパケットインスペクションを防止することを可能にします。DNS アプリケーションファイア• 高度なスクリプティングによってDNS 構成の不具合を「仮想的に修復」

DNS キャッシュのポイズニングやスプーフィングのような脅威（DPI）スクリプティングテクノロジーのポリシーは、DNS クエ

ウォールは、VeriSign DNSSEC 相互運用性ラボでのテストに攻撃を防止できます。さらに、特定タイプの DNS クエリーを強ポートすることが保証されます。DNS アプリケーションファイア

リーとDNS 応答を変換して、DNS 再帰のような特定タイプの合格しているため、業界標準の DNS セキュリティ拡張機能をサ制的に TCP に戻すように aFleX のルールを記述して、従来よりウォールは TCP 経由で送信された DNS クエリーを認証したり、撃を防止できます。

ソースが正当なものであることを確認して、スプーフィングなどのコネクションの少ない UDPトラフィックの IP スプーフィング攻• DNS 攻撃を上回るレベルにDNSインフラストラクチャーを拡張

高度なサーバーロードバランシングを利用することで、複数のDNS サーバーを導入して可用性を最大化できるとともに、大規模な攻撃に耐え得るようにキャパシティを拡大できます。
A10 の強力な ACOS プラットフォームと高速な共有メモリーアーキテクチャーは超高速なパフォーマンスを実現します。

• キャッシングとプロトコル検証によりDNS サーバーの負荷を最大 70% 軽減

DNS サーバーは非 DNSトラフィックによって攻撃を受けることがよくあります。A10 Thunder シリーズは、プロトコルのチェックと適用を通じて DNSトラフィックを正しく識別してルーティングすることで、DNS 以外のトラフィックが DNS インフラストラクチャーに侵入することを防止します。キャッシングは、DNS サーバーを攻撃から保護するだけでなく、必要な DNS サーバーの数を減らすことで設備コストを削減します。

必要に応じて UDP 応答をTCP にリダイレクトしたりすることで、脅威を防止することもできます。

• パフォーマンスをリニアに拡張してキャパシティを最大化

A10 Thunder シリーズの DNSアプリケーションファイアウォール
は共有メモリーアーキテクチャーをサポートしているため、マルチコアプロセッサーを最大限に活用できます。A10 Thunder シ

リーズの共有メモリーアーキテクチャーはパフォーマンスを向上させるだけでなく、プロセッサーコアが全接続数をリアルタイムで完全に把握できるため、レートリミットの精度も高めます。

• IPv4とIPv6 の DNSトラフィックを保護

A10 ThunderシリーズのDNSアプリケーションファイアウォールは、IPv4 とIPv6 の両方の通信プロトコルについて同じレベルの保護を実現します。A10 Thunder シリーズは IPv6 移行技術をサポートしているため、使用されているIPバージョンにかかわらず、組織はDNS要求を簡単に処理できます。DNSアプリケーションファイアウォールが統合されたA10 Thunderシリーズは、DNS脅威からの業界最高レベルの包括的な保護を可能にする一方で、DNSアプリケーションのパフォーマンスを向上させることができます。

© 2024 A10 Networks, Inc. All rights reserved.

3

DNSアプリケーションファイアウォール | SOLUTION BRIEF

DNS アプリケーションファイアウォールの機能

DNS DDoS 攻撃の防御とDNS サーバーの負荷軽減• DNS DDoS 攻撃の防御とDNS サーバーの負荷軽減• 接続レート制限• ソースIP ベースの接続レート制限• 最大 800 万件の IPアドレスと1 万件のサブネットが登録された

ブラックリストとホワイトリストを使用したポリシーベースのサーバーロードバランシング（PBSLB）

まとめ－ A10 の DNS アプリケーションファ
イアウォールによる DNS インフラストラク
チャーの保護データセンターのセキュリティ脅威が高まる中で、組織は DNS イ

ンフラストラクチャーを攻撃から保護できるソリューションを必要としています。セキュリティソリューションはそれらの進化に適応して、トラフィックの急増に対応してビジネスを常に円滑に運営するための処理能力を提供する必要があります。

A10 のソリューションにより、組 織 は DNS サーバーの 保 護 が• DNS 認証可能です。A10 Thunder シリーズの DNS アプリケーションファ• 脆弱性攻撃を防止するaFleX ポリシー

イアウォールは、DDoS 攻撃、DNSキャッシュポイズニング、およ• 特定名のドメイン名に基づいたトラフィック制限

びカスタム脆 弱 性 攻 撃に対する強 力 な防 御を可 能にします。

• 最大クエリー長保護 • DNS キャッシング• DNSトラフィックのロードバランシング

A10 Thunderシリーズによって防御可能なDNS DDoS 攻撃
DNS DDoS 攻撃の防御とDNS サーバーの負荷軽減• DNS ANY 攻撃

A10 Thunder シリーズは、統合型のロードバランシング、プロト

コル検証、および DNS キャッシングによって、DNS インフラスト

ラクチャーの総合キャパシティを拡大できます。A10 Thunder シ
リーズは、世界中の数千の組織で導入されており、DNSサーバーの• 不正な形式の DNS クエリー
• DNS アンプ攻撃• レイヤー 3 に対する帯域幅消費型 DDoS 攻撃 ‒ SYNフラッド、ICMPフラッド、UPDフラッド、Ping of Death、Smurf 攻撃、
LAND 攻撃、フラグメントパケット

可用性向上、高速化、セキュリティ強化を実現します。

次のステップA10 ネットワークスのアプリケーションデリバリーコントローラー

A10 Thunder シリーズの詳細については、A10 ネットワークスの担当者にお問い合わせください。

A10 Networks / A10 ネットワークス株式会社について

A10 Networks は、オンプレミス、ハイブリッドクラウド、エッジクラウド環境における、セキュリティ、インフラストラクチャの課題を解決するソリューションを提供しています。大手グローバル企業や通信、クラウド、Web サービス事業者まで 7000 社以上のお客様に導入いただいており、ビジネスに不可欠なアプリケーションやネットワークの安全性、可用性、効率性を高めています。A10 ネットワークスは 2004 年に設立されました。
米国カリフォルニア州サンノゼに本社を置き、世界中のお客様にサービスを提供しています。

A10 ネットワークス株式会社は A10 Networks の日本子会社であり、お客様の意見や要望を積極的に取り入れ、革新的なアプリケーションネットワーキングソリューションをご提供することを使命としています。
詳しくはホームページをご覧ください。

• URL：https://www.a10networks.co.jp/• X（旧 Twitter）：https://twitter.com/a10networksjp• Facebook：https://www.facebook.com/A10networksjapan

A10ネットワークス株式会社

Learn More
About A10 Networks
お問い合わせA10networks.co.jp/contact

www.a10networks.co.jp©2024 A10 Networks, Inc. All rights reserved. A10 ロゴ、A10 Networks は 米 国およびその他 各 国 における A10 Networks, Inc. の商 標または登録商標です。その他上記の全ての商品およびサービスの名称はそれら各社の商標です。 A10 Networks は本書の誤りに関して責任を負いません。
A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。製品の仕様や機能は、変更する場合がございますので、ご注意ください。 商標について詳しくはホームページをご覧ください。 www.a10networks.com/a10-trademarks
Part Number: A10-SB-19136-JA-02 JUN 2024