オープンリゾルバ（Open Resolver）は、インターネット上のどの機器からの問い合わせにも応答するように設定されたDNSキャッシュサーバの状態を指します。
この設定が不適切に行われると、DoS攻撃の踏み台として悪用される危険性が高まります。
本記事では、オープンリゾルバの仕組み、潜在的なリスク、そしてそれに対する対策について詳しく解説します。
オープンリゾルバの仕組み
DNSと名前解決の基本
DNS（Domain Name System）は、ホスト名（ドメイン名）から対応するIPアドレスを調べるためのシステムです。
この名前解決の過程では、DNSサーバがルートサーバから順に問い合わせを行い、最終的にドメイン名を管理するサーバまでたどり着きます。
このプロセスを実行するサーバがフルサービスリゾルバで、インターネットサービスプロバイダ（ISP）や一部のネットワーク機器がこれを運用しています。
オープンリゾルバの状態
通常、フルサービスリゾルバは自ネットワーク内の端末からの問い合わせのみを受け付けます。
しかし、設定によってはアクセス制限がなくなり、インターネット上のどこからでも問い合わせに応じるようになる場合があります。
この状態がオープンリゾルバです。
オープンリゾルバは利便性が高い反面、適切なセキュリティ対策が行われていないと、外部からの攻撃に悪用される可能性があります。
オープンリゾルバが引き起こすリスク
DNSキャッシュポイズニング攻撃
DNSキャッシュポイズニング攻撃は、攻撃者がDNSキャッシュサーバに不正な情報を注入することで、利用者を偽のウェブサイトに誘導する攻撃です。
オープンリゾルバは、広範囲からの問い合わせを受け付けるため、この攻撃に利用されるリスクが高まります。
攻撃者はオープンリゾルバを利用して大量の不正なデータを注入し、DNSクライアントに偽の情報を返すことで、ユーザーをフィッシングサイトやマルウェアに感染させるサイトへ誘導する可能性があります。
DNSリフレクター攻撃（DNSアンプ攻撃）
DNSリフレクター攻撃（またはDNSアンプ攻撃）は、オープンリゾルバを悪用してターゲットに大量のトラフィックを送りつける攻撃です。
攻撃者は小さな問い合わせをオープンリゾルバに送り、リゾルバが返す大きな応答をターゲットのIPアドレスに向けることで、DoS攻撃を実行します。
この攻撃は、オープンリゾルバの存在が原因で容易に大規模な攻撃を実施できるため、被害が甚大になる可能性があります。
オープンリゾルバを防ぐための対策
アクセス制限の設定
オープンリゾルバを防ぐ最も基本的な対策は、アクセス制限の設定です。
DNSキャッシュサーバが応答する対象を自ネットワーク内のクライアントに限定することで、外部からの不正な問い合わせを遮断します。
設定方法はDNSソフトウェアやネットワーク機器の種類によって異なりますが、一般的にはファイアウォールの設定やDNSサーバの設定ファイルで制御します。
ネットワークのモニタリング
オープンリゾルバの存在は、ネットワークのセキュリティリスクを高めます。
そのため、ネットワークのモニタリングを定期的に行い、異常なトラフィックや不正なアクセスを検出することが重要です。
IDS/IPS（侵入検知・防御システム）やDNSクエリのログ分析を活用して、異常な動作を早期に発見し、対応することが求められます。
DNSSECの導入
DNSSEC（DNS Security Extensions）は、DNSキャッシュポイズニング攻撃に対する有効な防御策です。
DNSSECを導入することで、DNS応答に電子署名を付加し、応答データの正当性を検証することが可能になります。
これにより、攻撃者が不正なデータを注入することを防ぎ、DNSキャッシュサーバのセキュリティを強化します。
オープンリゾルバの現実的な対処法
小規模ネットワークでのオープンリゾルバ防止策
小規模ネットワークにおいては、オープンリゾルバにならないようにするための設定は比較的シンプルです。
例えば、家庭用ルータのDNS設定で、外部からのDNSクエリを拒否するオプションを有効にするだけで効果があります。
また、ISPが提供するDNSキャッシュサーバを利用することで、独自のDNSキャッシュサーバを運用する必要がなくなり、オープンリゾルバのリスクを回避できます。
大規模ネットワークでのセキュリティ強化
大規模な企業ネットワークでは、DNSセキュリティの強化がさらに重要です。
専用のDNSファイアウォールを導入し、不正なDNSクエリをフィルタリングすることで、オープンリゾルバによるリスクを低減できます。
また、DNSトラフィックの暗号化や内部ネットワークにおけるDNSサーバの分散配置など、複数のセキュリティ対策を組み合わせて包括的な防御を実現します。
まとめ
オープンリゾルバは、その利便性から不適切に設定されると、DNSキャッシュポイズニングやDNSリフレクター攻撃など、さまざまなセキュリティリスクを引き起こす原因となります。
適切なアクセス制限の設定やDNSSECの導入、ネットワークのモニタリングを通じて、オープンリゾルバのリスクを軽減し、セキュリティを強化することが重要です。
特に、DNSのセキュリティはネットワーク全体の安全性に直結するため、常に最新の対策を講じることが求められます。