質問: 現在社内システムを構築中です。 現在AD(内部DNS)のフォワーダに外部DNS(BIND)を設定して、 外部の名前解決を実現しようと思っているのですが、 外部の名前解決が必要なサーバは、 マルウェア対策をインストールしているサーバやWindowアップデートサイトに接続が必要なサーバ などなど限られたサーバだけになります。 上記の構成の場合、**端末や内部セグメントにいる外部の名前解決が不要なサーバも名前解決が可能**になってしまうのですが、 その場合の**セキュリティリスクはあるのでしょうか**? ※外部へ通信の必要のない機器についてはFWでDropさせています。
回答: 通常は許容可能なレベルかとは思いますが、リスクがまったくないとは言えません。 以下のようなDNSの悪用が知られています。 遠隔操作ウイルスの制御にDNSプロトコルを使用する事案への注意喚起 つまり、「外部へ通信の必要のない機器についてはFWでDropさせてい」るつもりであっても、DNSプロトコルによりトンネルさせることにより、内部ネットワークに侵入したマルウェアが外部と通信できるということです。 標的型攻撃に対してどのように対応するかという方針の中で、上記のような脅威が許容可能かどうかを検討することになります。