FE2027情報セキュリティの脅威 · 攻撃手法

DNS水責め攻撃

DNS Water Torture Attack

でぃーえぬえすみずぜめこうげき

標的のドメインに存在しないランダムなサブドメインの名前解決要求を大量に送り、DNSサーバを過負荷にするDoS攻撃。毎回異なる名前を問い合わせるためキャッシュが効かず、キャッシュDNSサーバから標的の権威DNSサーバへの問合せが集中する。ランダムサブドメイン攻撃ともいう。

共有:

他の資格での定義

実在しないランダムなサブドメイン名の問合せを大量に発生させ、キャッシュに載らない問合せを権威DNSサーバへ集中させて機能停止に追い込む攻撃。ランダムサブドメイン攻撃とも呼ばれ、キャッシュDNSサーバも巻き込まれる。

標的のドメインに存在しないランダムなサブドメインの名前解決の要求を大量に送り、キャッシュに無いため権威DNSサーバへの問合せを発生させ続けて、権威DNSサーバやキャッシュDNSサーバを過負荷にするDoS攻撃。ランダムサブドメイン攻撃とも呼ばれる。

Past Exams

過去問で 4 回出題（ITストラテジスト試験 1・データベーススペシャリスト試験 1・ITサービスマネージャ試験 1・情報処理安全確保支援士試験 1）

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。用語名で照合しているため、関係の薄い問題が含まれることがあります。

外部の不特定の利用者からの名前解決要求にも応答してしまうキャッシュDNSサーバ。送信元を攻撃対象のIPアドレスに偽装した問合せを大量に送り、大きな応答を攻撃対象に集中させるDNSリフレクション攻撃の踏み台に悪用される。問合せを受け付ける範囲を組織内に限定して防ぐ。

DNSサーバのキャッシュに偽の情報を注入し、利用者を不正なサイトに誘導する攻撃。攻撃者はDNSサーバの問い合わせに対して偽の応答を送り、正規のドメイン名に対して不正なIPアドレスを対応付ける。

インターネット上のコンピュータやネットワークを識別するための名前。IPアドレスに対応する人間が理解しやすい文字列で、DNSによってIPアドレスとの変換が行われる。

インターネット上のWebページやファイルなどの資源の場所を示す表記。スキーム（httpsなどの通信の方式）、ホスト名、ポート番号、パス、問合せ文字列などで構成され、ホスト名の部分はDNSでIPアドレスに変換される。

DNSゾーンファイルに記載される資源レコード。A（IPv4アドレス）、AAAA（IPv6アドレス）、CNAME（別名）、MX（メールサーバ）、NS（DNSサーバ）、SOA（ゾーン管理情報）、TXT（テキスト情報）、PTR（逆引き）等のタイプがある。

DNSの応答にディジタル署名を付加し、応答の正当性と完全性を検証するためのDNS拡張仕様。DNSキャッシュポイズニング等のなりすまし攻撃への対策として設計された。RRSIG、DNSKEY、DS等のレコードタイプを使用する。