JAPAN REGISTRY SERVICES

ＤＤｏＳにあなたのＤＮＳが使われる～ＤＮＳ Ａｍｐの脅威と対策～
INTEROP 2007

Copyright © 2007 株式会社日本レジストリサービス

1

JAPAN REGISTRY SERVICES「DNS Amp攻撃」とは• ＤＤｏＳ攻撃の一種• DNSキャッシュサーバを悪用– より少ない資源で効果的に攻撃できる• 攻撃力が強い– 分散型、数Gbps～数100Gbps• 著名なサイトが被害を受けている– VeriSignやNetwork Solutionsなど
Copyright © 2007 株式会社日本レジストリサービス

2

JAPAN REGISTRY SERVICES

DNSがアンプ(増幅器)になる?
小さな音が大きくなる

小さなパケットが大きくなる
example.jp. TXT$ORIGIN example.jp.
@ IN TXT XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

Copyright © 2007 株式会社日本レジストリサービス

3

JAPAN REGISTRY SERVICES

攻撃の準備

DNSキャッシュサーバ
TXT XXXXX・・・・・：
どこかの権威DNSサーバに・・・・・XXXXXTXT XXXXX・・・・・：・・・・・XXXXX

大きなデータをあらかじめ

権威DNSサーバTXT XXXXX・・・・・
用意しておく：・・・・・XXXXX

攻撃用TXT XXXXX・・・・・
DNSキャッシュサーバに：データが・・・・・XXXXX
そのデータを問い合わせ
攻撃者

Botnet

攻撃対象のコンピュータ
Copyright © 2007 株式会社日本レジストリサービス

コピーされるTXT XXXXX・・・・・：
キャッシュさせると、、、・・・・・XXXXXTXT XXXXX・・・・・：・・・・・XXXXX
4

JAPAN REGISTRY SERVICES

攻撃！！！
攻撃対象のコンピュータのIPアドレスを騙って権威DNSサーバ
一斉にDNS問い合わせを行う

TXT XXXXX・・・・・：・・・・・XXXXXDNSキャッシュサーバ
TXT XXXXX・・・・・：・・・・・XXXXXTXT XXXXX・・・・・：・・・・・XXXXXTXT XXXXX・・・・・：・・・・・XXXXX

攻撃者

Botnet

攻撃対象のコンピュータ
Copyright © 2007 株式会社日本レジストリサービス

TXT XXXXX・・・・・：・・・・・XXXXXTXT XXXXX・・・・・：・・・・・XXXXX
5

JAPAN REGISTRY SERVICES

何が問題なのか
DNSの仕組み・特徴

DNS Amp攻撃の特徴

UDPなので処理が軽い
小さな問い合わせに大きな応答
インターネットの根幹機能の一つ
キャッシュ機能の存在

UDPなので送信元の詐称が容易
容易に大きなデータを作成可能
インターネット中に踏み台が存在
踏み台の被害に気づきにくい

DNSの仕組み・特徴そのものを悪用している
Copyright © 2007 株式会社日本レジストリサービス

6

JAPAN REGISTRY SERVICES

DNS Amp攻撃への対策①自分のネットワークが攻撃元となら• 2つの対策ないようにするため、 IPアドレスを企業ネットワーク
プロバイダネットワーク 騙ったパケットを外部に出させない
example.jp TXT

乗っ取られたPC
攻撃対象のコンピュータ
Copyright © 2007 株式会社日本レジストリサービス

DNS
キャッシュサーバ

企業内ユーザ②自分のDNSキャッシュサーバを踏み台にされないようにするため、外部からのDNS問い合わせに応答させない
7

JAPAN REGISTRY SERVICES

DNS Amp攻撃への対策①IPアドレスを騙ったパケットを外部に出させない⇒ Source Address Validation(送信元検証)の導入– Ingress Filter (BCP 38 / RFC 2827)– バックボーン側通信機器で送信元IPアドレスの正当性を確認– 偽装された送信元IPアドレスを利用した通信を遮断• プロバイダやiDC単位での導入が望ましい

Copyright © 2007 株式会社日本レジストリサービス

8JAPAN REGISTRY SERVICES

DNS Amp攻撃への対策②外部からのDNS問い合わせに応答させない

Open Resolverの撲滅

Copyright © 2007 株式会社日本レジストリサービス

9

JAPAN REGISTRY SERVICES

Open Resolverって何?
• どこからのDNS問い合わせにも応答する状態のDNSサーバ• ここで素直な疑問「DNSサーバってインターネット上のどこからの問い合わせでも応答しなきゃいけないんじゃないの?」• DNSサーバには機能の異なる2種類のサーバが存在する

DNSキャッシュサーバ

権威DNSサーバ– 「DNSキャッシュサーバ」 と「権威DNSサーバ」
Copyright © 2007 株式会社日本レジストリサービス

10

JAPAN REGISTRY SERVICES

DNSキャッシュサーバと権威DNSサーバ
DNSキャッシュサーバ

権威DNSサーバ•ユーザが参照•ゾーンデータを管理しない•反復検索を行う•データをキャッシュする•DNSキャッシュサーバが参照•ゾーンデータを管理する•反復検索を行わない•データをキャッシュしない

ればよい

必要あり

DNS
組織内ネットワークからの インターネットからの全て キャッシュ問い合わせにのみ応答す の問い合わせに応答するサーバ

権威DNSサーバ

Copyright © 2007 株式会社日本レジストリサービス

11

JAPAN REGISTRY SERVICES

Open Resolverの撲滅のために• 必要な3つの対策① DNSキャッシュサーバと権威DNSサーバ(DNSコンテンツサーバ)の分割② 権威DNSサーバでは不必要な反復検索機能を無効に設定③ DNSキャッシュサーバでは外部からの問い合わせに応答しないようにアクセスコントロールを設定
Copyright © 2007 株式会社日本レジストリサービス

企業ネットワーク

DNS
キャッシュサーバ

企業内ユーザ権威DNSサーバ

12

JAPAN REGISTRY SERVICES

まとめ – DNS Amp攻撃を撲滅するために•自分のネットワークが攻撃元とならないように– Source Address Validation(送信元検証)が有効です•

自分のDNSサーバを踏み台にされないように– あなたのDNSサーバ、Open Resolverになっていませんか?
– 3つの対策を実施しましょう① DNSキャッシュサーバと権威DNSサーバを分離② 権威DNSサーバでは反復検索機能を無効に③ DNSキャッシュサーバでは自分以外のネットワークからのアクセスを禁止

Copyright © 2007 株式会社日本レジストリサービス

13

JAPAN REGISTRY SERVICES

インターネット全体での取り組み• 会議・イベント等における活動– INTEROP / Internet Week 等– APNIC / RIPE Meeting 等• オペレータコミュニティ– JANOG / NANOG / OARC 等– DNSOPS.JP• BoF: 6月13日(水)18:30- (参加無料)
Copyright © 2007 株式会社日本レジストリサービス

14