福岡⼤学におけるDNSセキュリティの取り組み

福岡⼤学 情報基盤センター

藤村 丞（ふじむら しょう）
fujimura@fukuoka-u.ac.jp
福岡大学情報基盤センターマスコットキャラクター

7

自己紹介
n名前
¡¡n所属
¡n

福岡大学 情報基盤センター 専任教員

7担当（各種サポート含む）¡¡n

藤村 丞 （ふじむら しょう）
『丞』…人名用漢字、JIS第1水準

キャンパスネットワーク、ネットワークセキュリティ、認証基盤など基盤系
学内情報システム全般（医療系オーダリング以外）

公開NTPサービス¡

https://www.itc.fukuoka-u.ac.jp/i/service/special/public_ntp
2

トラフィック量n2019年7月16日-17日

Inbound:202.45 Mbps
Outbound:
179.95 Mbps

Inbound:270.97 Mbps
Outbound:229.76 Mbps
Inbound:344,820 pps
Outbound:229,760 pps

n

2022年10月30日-31日

7

Inbound:256,500 pps
Outbound:229,510 pps 3本日の目次
ネットワーク構成やトラフィックなどの規模感
n DNSセキュリティの取り組み
nn

みなさまのご意見や状況などをお聞かせください！

74

福岡大学とは（IPアドレスとAS）

75

福岡大学とはnn

私立大学（創立88周年）
所在地： 福岡県福岡市¡nnnnnn

学部数： 9学部（31学科）
研究科数： 10研究科（33専攻）
学生数： 約19,200名（大学+大学院）
大学病院 3病院
附属高等学校 2校、附属中学校 1校
ネットワーク構成¡¡n

地下鉄七隈線で都心から16分

IPv4： 133.100.0.0/16
IPv6： 2405:be00::/32（全学に展開済み）

AS18148（キャンパスネットワーク）
AS63785（公開NTPサービス）¡

7

SINETと10Gbps x2にて接続
6

ネットワーク構成

77

キャンパスネットワーク構成
n

ネットワークスイッチ¡nn

インターネット接続はSINETに10Gbps 2回線で接続
SINET接続から建屋スイッチまでは冗長構成¡nn

合計で約420台、無線LANは約630台

7SINET
マシン室1マシン室2
コアスイッチ

スタック

建屋集約スイッチ

建屋集約まではマシン室も別々

各建屋スイッチと建屋集約スイッチは1Gbps x2（リンクアグリゲーション）
講義期間中は約2.5万台（推定）超のデバイスが接続

建屋スイッチ
フロアスイッチ
8トラフィック量について79インターネット接続トラフィック量（1/2）
n

SINET接続のトラフィック¡

ここのトラフィック

SINET
nn

SINET

学術情報ネットワーク

キャンパスネットワークとインターネット接続のトラフィック

7

コアスイッチ

スタック

建屋集約スイッチ

建屋スイッチ
フロアスイッチ10インターネット接続トラフィック量（2/2）
n

ピークはおおよそ4.5Gbpsから5Gbpsの間¡n75分平均なので瞬間最大風速はまだ上の値（のはず）

時間帯は13:00頃

11ネットワークセキュリティ（DNSセキュリティ）7

12

DNSSECn

2015年9月より¡¡

DNSキャッシュサーバによるDNSSECの署名検証開始
DNSコンテンツサーバによるDNSSECの署名開始n¡ただし2015年には設定ミスにより鍵の更新に失敗し…
n¡n

情報基盤センター管理分のみ（マスターゾーンのみ）
DNSSECを一時的にOFFにすることにより回避

運用開始後1年間程度は数件の問い合わせ（接続できない）

課題¡¡

スレーブゾーンへの署名適用
逆引きゾーンへの署名適用

713

OP53B（Outbound Port 53 Blocking）
n

2020年9月より
¡¡
¡
¡
¡
¡

外向き（インターネット向け）TCP/UDP53番ポート（DNS）の遮断
マルウェアによる不正なサイトへの誘導や情報漏洩などから守るため
後述の DNS Firewall の導入効果を高めるため
Public DNS サーバへは接続できない
DNS運用者へはforwardersの設定マニュアルを作成・配布
回避手段として解除申請を設けているnn

今のところ申請は1件のみ --> 今年度内に廃止予定

課題¡

2022年9月現在
特に問い合わせや運用課題になるような事象は起きていない

714

DNS Firewalln

名前解決をするタイミングでフィッシングサイトや偽サイト、マルウェアをダウンロードさせるサイトなど、悪意のあるサイトへのアクセス（名前解決）と検知した場合、自動的に通信を止め（名前解決を行わず）、悪意ある攻撃の前段階で攻撃をブロックする仕組み
C&C サイト¡ ウイルス、マルウェア配布サイト¡ DoS（Denial of Service attack）攻撃用サイト¡ Bogon space（割当てられていないアドレススペースの応答）¡ DoH（DNS over HTTPS）サイト¡715

DNS Firewall 利用分析n

DNS Firewallでのブロック数

2022年9月

推定2.5万台が対象
名前解決を行わなかったクエリ数

2022年6月¡¡n

2022年7月
9,807,536

2022年5月

37,644,953
15,494,790

2022年4月

11,069,543

2022年3月

1,826,960
9,249,717

DoHの遮断もこれで行 2022年1月
2021年12月っている
DNS over HTTPS

37,291,974

15,661,825

2022年2月

nn

2022年8月

974,647
1,186,280

2021年11月

1,428,329

2021年10月

1,516,739

一定の効果を得ている 2021年9月
2021年8月と考えている
2021年7月

7336,434
257,472458,55305,000,000

10,000,000

15,000,000

20,000,000

25,000,000

30,000,000

35,000,000

16NSAが企業ネットワークでのDoHの利用に警告（1/2）
米国家安全保障局（NSA）は2021年1月14日、DNS-over-HTTPS（DNSプロトコルの暗号化）の持つリスクを説明するアドバイザリを公開
n NSAからの注意喚起
n¡

¡

¡

7

DoHを使用しても攻撃者がユーザーのトラフィックを完全に見られなくなる
わけではないネットワークの内部で使用した場合、従来の（平文の）DNSトラフィックを調べることで脅威を検知している多くのセキュリティツールの働きを阻害する恐れがある今日のDoHを使用可能なDNSサーバの多くは、企業ネットワークの外部にホストされているため、企業の制御下にはなく監査を行うこともできない17

https://media.defense.gov/2021/Jan/14/2002564889/-1/-1/0/CSI_ADOPTING_ENCRYPTED_DNS_U_OO_102904_21.PDF

NSAが企業ネットワークでのDoHの利用に警告（2/2）
米国家安全保障局（NSA）は2021年1月14日、DNS-over-HTTPS（DNSプロトコルの暗号化）の持つリスクを説明するアドバイザリを公開
n NSAからのアドバイスn¡¡7

社内ネットワークでは暗号化されたDNSを使用するのを避けるか、DoHを使用可能なDNSサーバを使用する場合には、少なくとも社内でホストし、自社の制御下に置くべきである
企業ネットワークのDNSトラフィックは暗号化されているかどうかに関わらず、指定された（信頼された）DNSリゾルバーだけに送信するようにすることを勧める
n

他の全てのDNSサーバは無効化するか、ブロックすべきである18

https://media.defense.gov/2021/Jan/14/2002564889/-1/-1/0/CSI_ADOPTING_ENCRYPTED_DNS_U_OO_102904_21.PDF

DoHのブロック理由n

DoHを悪用するマルウェアが存在¡¡

C2とのトラフィックを隠すためにDoHを利用とあるDoH経由でマルウェアを配布
nnn

学内の（正規の）DNSをバイパスすることで、セキュリティ機能の脆弱性が狙われる
契約関係のない（誰が作ったかわからない）DNSサーバに名前解決を依頼することができるか…？
¡7

NTPサービスも同じnn

悪意のあるペイロードを含む「データ」フィールドが存在

システムにとって大事な時刻を誰に任せるか？

信頼されたDNSキャッシュサーバへのみクエリを送信するべきである
19

DNS Firewallの課題
n

悪意のあるサイトの名前解決を行おうとしたクライアントへの対応¡¡

n

IP指定のDoH と DoT（DNS over TLS）の取り扱い¡n

今のところDoHのDNS Firewallでの（名前解決での）ブロックのみ自前のDoHとDoTを提供する？
¡nFU-CSIRTでは人手が圧倒的に足りない（検知の数が多すぎる…）
運用に乗せられていない

7

これはもう少し考えたい（様子を見たい）

2022年10月現在
DoHに関係する問い合わせや運用課題になるような事象は起きていない
20

さいごに
DNSセキュリティの導入効果を確認できた
n 運用課題はたくさんあるn¡n

一度には解決できないが、できるところから考えていきたい

ネットワークセキュリティについては攻撃および防御手法の移り変わりが激しい
最新の情報収集は怠らず¡ 組み込めるところやチューニングなどは随時行っていきたい¡

常に改善点を求めていきたいn ぜひみなさまのご意見・情報交換をさせていただきたいn

7
21

ご清聴ありがとうございました！

7

23