DNSキャッシュポイズニング

DNSサーバのキャッシュに偽のドメイン名とIPアドレスの対応情報を注入する攻撃。正規のドメイン名でアクセスしても偽サイトに誘導される。

DNSサーバのキャッシュに偽の情報を注入し、利用者を不正なサイトに誘導する攻撃。攻撃者はDNSサーバの問い合わせに対して偽の応答を送り、正規のドメイン名に対して不正なIPアドレスを対応付ける。

DNSサーバのキャッシュに偽の対応情報を覚え込ませ、利用者を偽サイトへ誘導する攻撃。正しいURLを入力しても被害に遭う。応答の正当性を署名で検証するDNSSECが対策となる。

DNSキャッシュサーバに偽の名前解決結果を覚え込ませ、利用者を偽サイトへ誘導する攻撃。正規のURLを入力しても偽サーバに接続してしまう。問合せIDと送信元ポートのランダム化、DNSSECによる応答の署名検証で防ぐ。

DNSキャッシュサーバに偽の名前解決情報を注入する攻撃。正規サイトへのアクセスを攻撃者のサーバに誘導し、フィッシングや情報窃取を行う。対策としてDNSSECによる応答の検証やソースポートランダム化がある。

実在しないランダムなサブドメイン名の問合せを大量に発生させ、キャッシュに載らない問合せを権威DNSサーバへ集中させて機能停止に追い込む攻撃。ランダムサブドメイン攻撃とも呼ばれ、キャッシュDNSサーバも巻き込まれる。

外部の不特定多数からの再帰的な名前解決要求を受け付けてしまうDNSサーバ。DNSリフレクション攻撃やDNSキャッシュポイズニングの踏み台にされるため、問合せ元を自組織内に限定する設定が必要となる。

使用を終えたCDNやクラウドのWebサービスを指すDNSのCNAMEレコードが削除されずに残っているとき、第三者がその参照先のサービス上で同じ名前を取得し、組織のサブドメインで偽のコンテンツを公開する攻撃。正規のドメインで表示されるため、フィッシングやcookieの窃取に悪用される。サービスの利用を終えたら、それを指すDNSレコードを削除して防ぐ。

多数の端末から標的に対して大量のトラフィックを送信し、サービスを妨害する攻撃。SYNフラッド、UDPフラッド、DNSリフレクション等の手法がある。CDNやWAF、ISPとの連携によるトラフィックスクラビング等で対策する。

DNSゾーンファイルに記載される資源レコード。A（IPv4アドレス）、AAAA（IPv6アドレス）、CNAME（別名）、MX（メールサーバ）、NS（DNSサーバ）、SOA（ゾーン管理情報）、TXT（テキスト情報）、PTR（逆引き）等のタイプがある。

DNSの応答にディジタル署名を付加し、応答の正当性と完全性を検証するためのDNS拡張仕様。DNSキャッシュポイズニング等のなりすまし攻撃への対策として設計された。RRSIG、DNSKEY、DS等のレコードタイプを使用する。