オープンリゾルバ｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. オープンリゾルバ
             

オープンリゾルバ

オープンリゾルバ（Open Resolver）は、誰でも自由にアクセスして利用できるDNSリゾルバを指します。通常、DNSリゾルバは特定のユーザーやネットワーク内でのみアクセス可能に設定されていますが、オープンリゾルバはアクセス制限がないため、インターネット上のどこからでも名前解決のリクエストを受け付け、応答します。

オープンリゾルバは、DNSリフレクション攻撃やDNSアンプ攻撃などのDDoS攻撃に悪用されることが多いため、インターネット上で重大なセキュリティリスクとされています。

オープンリゾルバの特徴と役割

  1. 誰でも利用可能
    オープンリゾルバはインターネット全体からアクセスが可能であり、特定のユーザーやネットワークに限定されることなくDNSリクエストを処理します。
  2. 名前解決の応答を提供
    オープンリゾルバは、受け取ったドメイン名のIPアドレスを調べて応答する通常のDNSリゾルバ機能を持ち、他のデバイスがインターネット上で通信する際に名前解決サービスを提供します。
  3. セキュリティリスクの増加
    オープンリゾルバは、DDoS攻撃などの悪意ある攻撃に利用されやすいため、脆弱な設定のまま放置されるとインターネット全体に悪影響を及ぼす可能性があります。

オープンリゾルバのセキュリティリスク

  1. DNSリフレクション攻撃（リフレクション型DDoS攻撃）
    攻撃者がオープンリゾルバを利用して、大量のDNSリクエストを特定のターゲットに送りつける攻撃です。リフレクション攻撃では、攻撃者がリクエスト送信元アドレスをターゲットのIPアドレスに偽装し、オープンリゾルバがそのリクエストに応答することで、ターゲットに大量のトラフィックが送り込まれます。
  2. DNSアンプ攻撃（アンプ型DDoS攻撃）
    DNSアンプ攻撃は、オープンリゾルバの応答サイズを増幅して大量のトラフィックを生成し、ターゲットに送りつける攻撃です。オープンリゾルバに大きなサイズの応答を要求することで、ターゲットに対する負荷が増大し、サービスが利用できなくなる場合があります。
  3. キャッシュポイズニング（DNSキャッシュ汚染）
    オープンリゾルバが悪意ある攻撃者からのリクエストに対してキャッシュポイズニング（キャッシュの改ざん）を受けることで、不正なIPアドレスがキャッシュされ、ユーザーが悪意あるサイトに誘導される危険性があります。キャッシュポイズニングにより、ユーザーが本来のサイトではなく、フィッシングサイトなどに誘導されるリスクが高まります。
  4. プライバシー侵害のリスク
    オープンリゾルバを介してユーザーのDNSリクエストがインターネット上に広まると、リクエスト情報が悪意ある第三者に見られる可能性があり、プライバシーリスクが発生する場合があります。特に、ユーザーの訪問先情報が漏洩すると、個人情報や行動履歴が不正に利用される危険性があります。

オープンリゾルバ対策

  1. アクセス制限の実施
    オープンリゾルバは、特定のネットワーク範囲（社内ネットワークやVPNユーザーなど）のみにアクセスを制限することで、第三者による不正な利用を防ぎます。ファイアウォールやACL（アクセス制御リスト）を使用して、許可されたIPアドレスからの接続のみに限定することが重要です。
  2. DNSリゾルバの設定強化
    DNSサーバーの設定を見直し、不要な応答を最小限に抑えるように構成します。たとえば、再帰的な名前解決を無効化し、他のDNSリゾルバからのリクエストに応答しないようにすることで、リフレクション攻撃のリスクを軽減できます。
  3. レートリミットの設定
    DNSリゾルバでレートリミット（一定時間内のリクエスト数制限）を導入し、同一IPアドレスからのリクエストを制限することで、不正な大量リクエストを防ぎます。これにより、DDoS攻撃の影響を軽減できます。
  4. ログの監視と分析
    DNSリゾルバのアクセスログを監視し、不審なトラフィックや大量のリクエストが発生していないかを確認します。異常なトラフィックが確認された場合、迅速に対策を行い、攻撃の兆候を早期に発見することが重要です。
  5. セキュリティパッチの適用
    DNSソフトウェアに最新のセキュリティパッチを適用し、脆弱性を解消することで、オープンリゾルバを悪用した攻撃のリスクを最小限に抑えます。

まとめ

オープンリゾルバは、自由にアクセス可能なDNSリゾルバであり、利便性が高い一方で、DDoS攻撃やキャッシュポイズニングなどのサイバー攻撃に悪用されやすいリスクを伴います。アクセス制限やDNS設定の強化、レートリミットの導入など、オープンリゾルバに対する適切な対策を講じることで、セキュリティリスクを軽減できます。

インターネット上のオープンリゾルバが増加すると、セキュリティ上の脅威も増すため、DNSリゾルバ管理者は常に最新のセキュリティ対策を実施し、安全なDNSリゾルバ運用を心がけることが求められます。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。