DNSアンプ攻撃(ディーエヌエスアンプこうげき)とは | 意味や読み方など丁寧でわかりやすい用語解説

DNSアンプ攻撃とは、ドメインネームシステム（DNS）の特性を悪用し、標的となるサーバーやネットワークに大量のトラフィックを送りつける分散型サービス拒否（DDoS）攻撃の一種である。この攻撃は、攻撃者が送り出すデータ量に比べて、標的に到達するデータ量が著しく増幅されるという特徴を持つため、「増幅攻撃（Amplification Attack）」と呼ばれる。これにより、小規模な攻撃リソースでも大規模なDDoS攻撃を実現し、標的のサービス停止やネットワーク帯域の枯渇を引き起こす深刻な脅威となっている。

詳細について説明する。まず、DNSの基本的な役割から理解する必要がある。DNSは、インターネット上で人間が覚えやすい「example.com」のようなドメイン名を、コンピューターが通信に使う「192.0.2.1」のようなIPアドレスに変換するシステムである。利用者がWebサイトにアクセスする際、そのドメイン名に対応するIPアドレスをDNSサーバーに問い合わせ、その情報に基づいて目的のサーバーと通信を開始する。この問い合わせと応答には、主にUDP（User Datagram Protocol）という通信プロトコルが使われる。UDPはTCPと異なり、通信相手との事前の接続確立が不要で、高速な通信を可能にするが、その反面、送信元のIPアドレスが容易に偽装されやすいという特性を持つ。

DNSアンプ攻撃の手口は、このUDPの特性と、設定不備のあるDNSサーバーを悪用する。攻撃者はまず、標的とするサーバーのIPアドレスを特定する。次に、多数の「オープンリゾルバ」を探し出す。オープンリゾルバとは、インターネット上の誰からの問い合わせに対しても、再帰的な名前解決（必要な情報を持つ別のDNSサーバーに問い合わせて、最終的な回答を得る処理）を許可してしまう設定のDNSサーバーのことである。本来、再帰的な名前解決は、そのDNSサーバーの利用者に限定されるべき機能であり、外部に開放されているべきではない。

攻撃は次のステップで進行する。

1. IPアドレスの偽装: 攻撃者は、自分のコンピューターからDNSクエリ（問い合わせ）を送信する際、その送信元IPアドレスを、攻撃目標である標的のIPアドレスに偽装（Spoofing）する。UDPプロトコルの特性上、このような偽装は比較的容易に行われる。
2. 大量のクエリ送信: 偽装した送信元IPアドレスで、攻撃者は大量のオープンリゾルバに対してDNSクエリを送信する。この時、攻撃者はできるだけ大きな応答が返ってくるようなクエリの内容を選ぶ。例えば、「ANY」タイプのクエリは、ドメインに関する利用可能なすべての情報を要求するため、非常に大きな応答データが返ってくる可能性が高い。
3. 応答の増幅と標的への集中: オープンリゾルバは、受け取ったクエリに対して、正規のDNS応答を生成する。この応答データは、多くの場合、元のクエリデータよりもはるかに大きいサイズとなる。オープンリゾルバは、クエリの送信元IPアドレスが偽装されていることに気づかず、偽装されたIPアドレス、つまり標的のサーバーに対して、この大きな応答データを送信する。
4. DDoS攻撃の発生: 攻撃者が多数のオープンリゾルバに対して同時にこの操作を行うため、標的のサーバーには、多くのオープンリゾルバから増幅された大量のDNS応答が一斉に押し寄せることになる。これにより、標的のサーバーやネットワークの帯域が飽和し、正当なユーザーからの通信が処理できなくなり、サービスが停止してしまう。攻撃者は少量のクエリを送るだけで、標的にはその何十倍、何百倍ものデータが送りつけられるため、非常に効率的に大規模な攻撃が可能となる。

この攻撃に対する対策は多岐にわたる。 第一に、インターネットサービスプロバイダ（ISP）などのネットワーク事業者が、自社のネットワークから発信される通信の送信元IPアドレスが偽装されていないかをフィルタリングする「送信元IPアドレス検証」を徹底することが重要である。これはRFC 2827（BCP 38）として推奨されているが、すべてのISPが完全に実施しているわけではない。 第二に、DNSサーバーの管理者側は、自社のDNSサーバーがオープンリゾルバにならないよう、設定を適切に行う必要がある。具体的には、再帰検索を許可する範囲を、信頼できる特定のIPアドレスやネットワークに限定することが求められる。また、DNSサーバーへの問い合わせ頻度を制限する「レートリミット」を設定することも、過剰な問い合わせによる負荷を軽減する効果がある。 第三に、攻撃の標的となる可能性のある組織は、DDoS対策サービスを利用することが有効である。これらのサービスは、大量の不正なトラフィックを専用の設備（スクラビングセンター）で吸収・フィルタリングし、正当な通信のみを標的のサーバーに転送することで、サービス停止を防ぐ。自社のネットワーク帯域を増強したり、複数のデータセンターにサービスを分散配置したりすることも、耐性を高める手段となる。これらの対策を組み合わせることで、DNSアンプ攻撃による被害を軽減し、安定したサービス提供を維持することが可能となる。