DNS乗っ取りとは？ 見つけ方と対策方法

ドメインネームサーバ乗っ取り

DNSリダイレクションとも呼ばれるこの手法は、ハッカーがDNSの名前解決を変更するために用います。マルウェアを使用して正規のサーバ設定を改変し、既定のインターネット標準に沿わなくさせます。 

ここ数年、DNSを狙った攻撃は増加傾向にあります。サイバー犯罪者はDNSが信頼されるプロトコルであり、多くの組織が異常なトラフィックや悪意ある動きを監視していないことを知っています。この弱点を突き、情報を盗んだり詐欺行為を行ったり、ウェブサイトを妨害するケースが散見されます。 

現在、多くの組織がDNS監視のソリューション導入や、強固な第一防衛線を担う人材の採用・育成にこれまで以上の資金とリソースを投じています。これは、DNSがビジネスの現場で一般的に利用されているためです。 

DNSとは

ドメインネームシステム（DNS）は、知らず知らずのうちに利用されている、インターネットの基幹部分です。電話帳に連絡先が登録されているように、インターネットも各コンピュータやアプリ、その他のリソースの電話帳を持っています。この命名システムをDNSと呼びます。 

インターネット上の情報にアクセスする際、人は「google.com」や「supersport.com」といったドメイン名を入力します。その後、ブラウザは端末のIPアドレスを通じて検索を開始します。DNSはドメイン名をIPアドレスに変換し、ウェブサイト上のリソースを表示させます。 

DNSは、利用者が各デバイス（ノートパソコン、携帯電話、タブレットなど）ごとに異なる数字を覚える手間を省くため、技術愛好者によって考案されました。

つまり、DNSはインターネット上の名前と、それに対応する数字（IPアドレス）の記録です。コンピュータ間の通信はこの数字を使って行われ、人がIPアドレスを記憶する必要がなくなります。 

DNSの仕組み

どの家にも住所があるように、インターネット上のすべてのデバイスにはIPアドレスが割り当てられています。IPアドレスがなければ、他のデバイスから見つけられません。ユーザーがブラウザに「www.yoursite.com」などの覚えやすいURLを入力すると、そのURLに対応するIPアドレス（IPv4では192.123.1.1、IPv6では2606:1100:220:1:258:1893:25c8:1945）が、再帰的リゾルバー、ルートネームサーバ、トップレベルドメインサーバ、オーソリティネームサーバなどの検索サーバを経由して特定され、ウェブページが表示されます。 

なお、初回の要求以降、DNSの照会は端末側の操作を必要とせず、裏で自動的に行われます。

DNS乗っ取りとは

DNS乗っ取りは、DNSそのものに対する攻撃です。場合によっては、DNSを使えなくする攻撃であったり、巧妙にユーザーを偽サイトへ誘導したりします。通常、攻撃者はユーザーのDNS照会を誤った結果に変更し、知らぬ間に悪意あるサイトへリダイレクトさせます。  

世界中で、多くの企業が自社のウェブサイトと紐づくドメインを所有しているため、DNS乗っ取り攻撃の被害は広がっています。 

通常、攻撃者はユーザーのコンピュータにマルウェアを仕込み、その後、DNS照会を悪意あるサイトへ誘導します。これにより、ユーザーのログイン情報などのデータが盗まれる恐れがあります。また、DNS通信そのものが改ざんされる場合もあります。 

ビジネス面では、DNS乗っ取りによりウェブサイトの信頼性が損なわれ、ユーザーが利用できなくなることで、顧客離れや信用低下、そして顧客の個人情報が狙われるリスクが生じます。 

なぜDNSが乗っ取られるのか

サイバー犯罪者がDNSを乗っ取る理由はさまざまです。ある場合は、ファーミングの目的でDNSを利用し、不要な広告を表示して収益を得ようとします。別の場合は、フィッシング、すなわち偽サイトを用いてユーザーの認証情報などを盗む目的があります。しかし、多くの場合、攻撃者の本当の狙いは明確です。ウェブサイトのユーザーの銀行口座から資金を流出させたり、カード詐欺を行ったり、ダークウェブで個人情報を販売するためです。

また、多くのインターネットサービスプロバイダー（ISP）が、DNSリダイレクションを用いてユーザーのDNS照会を管理し、データ収集や広告表示に活用していることも知られています。場合によっては、利用者自身が設定で乗っ取りを無効にできる場合もありますが、多くの場合、ブラウザのクッキーによりユーザーの設定が保持され、結果として偽のDNSエラーページが表示されます。

さらに、一部の政府機関が、ユーザーを自国のサイトへ誘導したり、検閲目的でDNS乗っ取りを利用したりするケースもあります。 

DNS乗っ取り攻撃の種類

サイバー犯罪者は、以下の4つの方法でDNS乗っ取りを実行します：

• ローカルDNS乗っ取り: ユーザーのコンピュータにトロイの木馬型マルウェアを仕込み、正規ソフトになりすまします。稼働するとネットワークに侵入し、データを盗んだり、DNS設定を変更して偽サイトへ誘導します。 
• ルーターDNS乗っ取り: 脆弱なDNSルーターを狙い、ルーターのDNS設定を上書き・再構成します。これにより、ウェブサイトへのアクセスが妨げられ、利用者は悪意あるサイトへリダイレクトされます。 
• 中間者型 DNS乗っ取り: ネットワークユーザーとDNSサーバの通信に割り込み、これを改ざんしてユーザーを未知のIPアドレスへ誘導します。DNSスプーフィングとも呼ばれます。
• 不正DNS乗っ取り: 攻撃者がDNSサーバをハックし、記録されたレコードを改変。以降のDNS照会を自身が管理する悪意あるサイトにリダイレクトします。 

DNS乗っ取り対策

DNS乗っ取りは頻繁に発生する攻撃であるため、ウェブサイト所有者と利用者の双方が予防策を講じる必要があります。フロントエンド、バックエンド双方から対策が可能です。

名前解決サーバおよびリゾルバー向けDNS乗っ取り対策

DNSのセキュリティ強化には、以下を実施してください。

• DNSリゾルバーを保護するため、ファイアウォールを設置してください。攻撃時、攻撃者は偽のリゾルバーを導入するため、正規のリゾルバーをファイアウォールで守り、不審なアクセスを遮断することが重要です。  

• 名前サーバへのアクセス制限を強化してください。攻撃者が内部から侵入する可能性もあるため、物理的なセキュリティ対策と、多要素認証の導入が効果的です。 
  

• キャッシュポイズニング対策を講じてください。ユーザーIDのランダム化、問い合わせIDのランダム生成、サーバのソースポートをランダム化するなどの方法が有効です。  

• 既知のドメイン脆弱性は速やかに修正してください。攻撃者はこれらの脆弱性を利用するため、定期的なチェックと迅速な対応が求められます。 

• リゾルバーとオーソリティネームサーバは別々のサーバで運用してください。両者を同一サーバで運用すると、DDoS攻撃を一方が受けた場合、もう一方にも影響が及びます。  

• ゾーン転送を防止してください。DNSレコードには攻撃者が狙う情報が含まれるため、ゾーン転送を禁止することが重要です。 

‍

エンドユーザー向けDNS乗っ取り対策

DNS乗っ取りでは、攻撃者がユーザーの認証情報や個人情報を狙います。ルーターのパスワードを定期的に変更し、最新のウイルス対策ソフトを導入、信頼できるネットワークに接続、またはVPNを利用してIPアドレスを変更するなどの対策を行ってください。

もしISPがDNS乗っ取りを行っている場合は、代替のDNSサービスを検討してください。 

ウェブサイト所有者向けDNS乗っ取り対策

ウェブサイト所有者は、DNS管理を自社または信頼できる第三者に委託しなければ、誰も管理してくれません。適切な管理が行われない場合、知らぬ間にDNSが乗っ取られ、全ウェブトラフィックやメール通信が攻撃者に奪われる危険があります。

つまり、DNS乗っ取り対策は、攻撃による金銭的損失や顧客離れを防ぐ上で欠かせない重要な対策です。DNS乗っ取りが発生すると、顧客の信用を失い、復旧に多額の費用がかかります。

このリスクを防ぐため、Wallarmの提案する以下の対策をIT担当者が実施することが求められます：

• 安全なアクセスの確保：貴社のDNSにアクセスできる担当者を限定し、ドメイン名サーバ登録機関へのアクセスには二要素認証を導入してください。  

併せて、ITチームが許可するIPアドレスをホワイトリスト化し、その数を制限することで、DNS乗っ取り攻撃を大幅に防止できます。  

• クライアントロックの導入：DNS登録機関がクライアントロック機能に対応している場合、設定をロックすることで、特定のIPアドレスからの承認なしにDNS設定が変更されるのを防げます。  

• DNSSEC対応のドメインネームサーバの利用：DNSSECは、電子署名と鍵を用いてDNS要求の検証を行います。DNSSECを導入すれば、攻撃者がトラフィックを傍受・なりすますのが難しくなり、DNS乗っ取りの防止につながります。 

DNS乗っ取りを許さない

結局のところ、DNS乗っ取りは今日、世界中の多くのウェブサイトが直面している現実です。多くの大企業が様々な理由でDNS乗っ取り攻撃に晒されています。いくら対策を講じても、攻撃者は日々進化し、脆弱なDNSを狙ってデータを盗む手法を開発しています。 

貴社のウェブサイトをDNS乗っ取りから守るためには、最新の対策を実施できるIT専門家を配置することが不可欠です。担当者が常にセキュリティレベルを高く保ち、脆弱性を早期に発見・修正することで、リスクを最小限に抑えられます。 

安全なDNS設定や経験豊富なIT専門家の支援が必要な場合は、Wallarmまでお問い合わせください。専門家が支援いたします。