JAPAN REGISTRY SERVICES
No. 020

ＪＰＲＳ トピックス＆コラム■ＤＮＳの安全性・安定性向上のためのキホン～お使いのＤＮＳサーバーは大丈夫ですか？～

ＤＮＳサーバーの安全性と安定性を高めるには、それぞれのサーバーの機能や特性に応じた適切な管理運用が必要です。あなたがお使いのＤＮＳサーバーを再確認してみましょう。
■2 種類の「DNS サーバー」に注意
DNS サーバーには、権威 DNS サーバーとキャッシュ
DNS サーバーの 2 種類があります。

DNS サーバーの代表的な実装の一つとして長年利用されている BIND では、権威 DNS サーバーとキャッシ
ュ DNS サーバーの機能を一つのサーバーで兼用する

権威 DNS サーバーは権威サーバーや DNS コンテンことができます。しかし、兼用による影響やセキュリティツサーバーなどとも呼ばれ、ドメイン名の階層構造を構上のリスク1 などを考慮した場合、双方を共有することは成し、名前情報を管理します。それに対し、キャッシュ好ましくなく、現在では開発元の ISC においても双方をDNS サーバーはキャッシュサーバーや DNS リゾルバー

別のサーバーに分離することを推奨しています2。などとも呼ばれ、ユーザー（クライアント）の要求を受けまた、DNS Amp 攻撃3や DNS キャッシュポイズニング4

権威 DNS サーバー群によるドメイン名の階層構造をたのリスクを軽減する観点からも、権威/キャッシュ DNS サ

どり、名前解決サービスを提供します（図 1）。

ーバーの分離が強く推奨されています。

▼分離の際は権威 DNS サーバーの変更がお奨め
多数のユーザー（クライアント）に一度公開したキャッシュ DNS サーバーの IP アドレス変更は、ユーザー側での追加作業や予期しないトラブル発生のリスクを伴いま
ユーザー

ユーザー

キャッシュDNSサーバー（緑）権威DNSサーバー（青）す。これに対し、ルートサーバー以外の権威 DNS サー
バーの IP アドレス変更では、自身が管理するゾーン情報と上位ゾーン（レジストリなど）の登録情報のみを変更

図 1: 権威 DNS サーバーとキャッシュ DNS サーバー

▼権威/キャッシュ DNS サーバーの分離すればよく、キャッシュ DNS サーバーに比べ、変更は比較的容易であるといえます。

このように、権威 DNS サーバーとキャッシュ DNS サー

そのため、権威 DNS サーバーとキャッシュ DNS サー

バーは本来別の機能を担当しており、サービス対象やバーの分離を図る場合、DNS サーバーを新たに準備しその提供範囲も異なっています（表 1）。

5

機能

権威DNSサーバー

キャッシュDNSサーバー

階層構造を構成し名前情報を管理する階層構造をたどり名前解決を提供する、権威 DNS サーバーの機能のみを新しいサーバーに分離する方法で実施するのがよいでしょう（図 2）。
新しいDNSサーバーの準備

権威DNSサーバー機能のみを新サーバーに分離兼用サーバーの権威DNSサーバー機能を無効化

図 2: 権威 DNS サーバーの分離手順
サービス対象インターネット上のキャッシュ
DNSサーバー

ISPや組織などのユーザー（クライアント）

サービス提供範囲

インターネット全体対象ユーザー（クライアント）のみ

表 1: 機能・サービス対象・サービス提供範囲の違い

Copyright © 2014 株式会社日本レジストリサービス

1
機能の分離により、一方の機能に不具合や脆弱性が発見された場合にも、その影響を回避可能です。
2
ISC Technical Note: Running An Authoritative-Only BIND Nameserver<http://ftp.isc.org/isc/pubs/tn/isc-tn-2002-2.html>
3「JPRS トピックス＆コラム」No.3 を参照。
4
「JPRS トピックス＆コラム」No.9、No.13 を参照。
5
必ずしも物理的に別のサーバーにする必要はなく、例えば 1 台のサーバー上に複数の IP アドレスを設定する形で分離する方式も可能です。

※掲載内容は2012年1月現在のものです。

1

JAPAN REGISTRY SERVICES■DNS サーバーの安全性・安定性を高める

アクセスコントロールは、DNS Amp 攻撃の踏み台とな

権威 DNS サーバーとキャッシュ DNS サーバーを分離るリスクや、DNS キャッシュポイズニングのリスクを軽減することでそれぞれのサーバーに応じた適切な設定がするのにも役立ちます。他の組織やユーザーに迷惑を可能になり、DNS サーバーの安全性・安定性を高める

かけないようにするためにも、キャッシュ DNS サーバーことができます。以下、分離後の権威 DNS サーバーとにおけるアクセスコントロールは重要です。

キャッシュ DNS サーバーそれぞれにおいて、特に注意▼ポート番号のランダム化は必須事項
2008 年に発表されたカミンスキー型攻撃手法により、すべきポイントを解説します。

■権威 DNS サーバーにおけるポイント

未対策のキャッシュ DNS サーバーに対し数秒以内に▼再帰検索要求の受け付けを無効化

DNS キャッシュポイズニングを成功させることが可能に

権威 DNS サーバーではキャッシュ DNS サーバーのなり、攻撃に対するリスクが急速に高まりました。

機能を提供する必要がありません。そのため、キャッシ

このため、緊急対策6としてキャッシュ DNS サーバーュ DNS サーバーでのみ必要となる、再帰検索要求の受の DNS 問い合わせ用ポート番号をランダム化し、外部け付けを無効に設定しておきます（図 3）。

からの予測を困難にする対策が実施されました（図 5）。

options {// アクセスコントロールは実施しない// （インターネット全体にサービスを提供）
allow-query { any; };// 再帰検索要求の受け付けを無効に設定
recursion no;};対策前：同じポートを毎回使用（偽の応答を入れやすい）

図 3: BIND 9 における設定例

これにより、キャッシュ DNS サーバー機能に脆弱性が発見された場合でも、その影響を回避することが可能になります。また、後述するキャッシュ DNS サーバー対策後：多数のポートをランダムに使用（偽の応答を入れづらい）機能に存在するセキュリティ上のリスクを回避できます。

■キャッシュ DNS サーバーにおけるポイント

図 5:ポート番号のランダム化による効果▼適切なアクセスコントロールの実施

ポート番号のランダム化に対応していないキャッシュ

通常、キャッシュ DNS サーバーではサービス対象とDNS サーバーを使い続けることは極めて危険であり、なるユーザー（クライアント）からのアクセスのみを許可早急に対応版に切り替える必要があります。また、キャすればよく、インターネット全体にサービスを公開する

ッシュ DNS サーバーの設定内容や途中のネットワーク必要はありません。そのため、サービス対象以外からの機器の仕様などにより、ランダム化に対応した実装であ利用を制限するアクセスコントロールを実施することで、ってもポート番号を外部から推測可能な状態になって外部からの不正使用を防止できます（図 4）。

しまう場合があるため、注意が必要です。

// 組織内ネットワーク一覧をACLで定義
acl MYNET {192.0.2.0/24;
2001:db8:2::/64;};
options {// 内部からの問い合わせのみ受け付ける
allow-query { MYNET; };allow-recursion { MYNET; };allow-query-cache { MYNET; };};

図 4: BIND 9 における設定例■より詳細な解説を『実践 DNS』に掲載
本コラムで取り上げた内容を含む、DNS サーバーの安全性・安定性を高めるための設定・運用方法に関する解説を、JPRS 監修による書籍『実践 DNS』にまとめています。併せてご利用ください。

6より根本的な対策として、DNSSEC の導入が進められています。

Copyright © 2014 株式会社日本レジストリサービス ※すべてのコラムは http://jprs.jp/related-info/guide/ でご覧いただけます。 2