Shield NS53 がオリジン DNS インフラを NXDOMAIN 攻撃から保護

増加している持続的な DNS 攻撃からの保護は、顧客、エンドユーザー、従業員にシームレスなデジタル体験を提供することを目指している企業や行政機関にとって喫緊の課題となっています。

DNS リソース枯渇攻撃には、他にもよく知られた名前がいくつかあります。たとえば、NXDOMAIN 攻撃、 擬似ランダムサブドメイン（PRSD）攻撃、DNS 水拷問攻撃、DNS フラッド攻撃などです。技術的または一般的な文脈の中でこれらの名称を理解するためには、サイバー犯罪者がこの種の攻撃をどのように設計するかを大まかに把握する必要がありますが、その前に通常の DNS の仕組みをおさらいしましょう。

図 4：Web アドレスが URL バーに入力された際に裏で実行される手順

攻撃者は、存在しないドメイン名やめったにアクセスされることのないドメイン名の DNS クエリーを作成します。各クエリーは一意に見えるように設計されています。つまり、DNS サーバーやアップストリームリゾルバーはそれを見たことがありません。

検知と緩和を回避するために、攻撃者は毎回、不正な DNS 要求を過去の DNS 要求とは異なるものにします。これにより、アップストリームリゾルバーは過去に同じクエリーに遭遇したことがないため、要求とその応答をキャッシュできなくなります。

攻撃者は、クエリーを絶えず変更することにより、アップストリームリゾルバーのキャッシングメカニズムを回避しようとします。DNS キャッシングは、過去に解決されたドメイン名とそれに対応する IP アドレスを保存することにより、以後のクエリーをより迅速に解決できるようにします。しかし、クエリーが毎回一意である場合、キャッシングの攻撃緩和効果が低下します。

NXDOMAIN 攻撃は、DNS サーバーにリソースを使用させて存在しないサブドメインを検索させるため、ネットワーク・セキュリティ・リーダーにとって大きな課題です。この手法は、オリジン DNS インフラの負荷を増加させ、ネットワークリソースを消費します。それにより、正当なサービスにアクセスしようとしている正当なユーザーへのサービスが悪化したり、ダウンタイムが発生したりする可能性があります。

Akamai Edge DNS はクラウドベースの総合的な専用権威 DNS ソリューションであり、 Akamai Connected Cloud の規模、セキュリティ、キャパシティを利用して世界中の数千台のサーバーに DNS ゾーンを分散します。 

お客様は、レジストラーでネーム・サーバー・レコードを更新したり、Akamai が提供するネーム・サーバー・レコードを使用したりすることにより、ゾーンの権威を Edge DNS に委任します。Akamai Edge DNS が提供する比類のないアタックサーフェス制御とプロアクティブなセキュリティ制御により、お客様の DNS のパフォーマンス、信頼性、可用性に影響を与えることなく、最大規模の DNS 攻撃さえも緩和できます。

多くの場合、組織はオンプレミスの DNS インフラを維持しており、さまざまなタイプの DNS 攻撃を防ぐために権威ゾーンを外部のクラウドソリューションに委任することはできません。 そのような環境が好まれている理由は、コンプライアンスに関する懸念、オリジン GSLB の動的設定、オリジンで権威ゾーンを管理したいという単純な願望など、さまざまです。

これは多くの場合、企業がオンプレミスの DNS インフラを構築するためにすでに多額の設備投資を行っており、少なくとも短期的にはクラウドにゾーンを委任することは財務的に実行可能な選択肢ではないという事実に基づいたビジネス上の決定です。

権威 DNS ゾーンの一部を Edge DNS に委任し、残りのゾーンにはオンプレミスのオリジンからサービスを提供することを選択する、ハイブリッドのシナリオもあります。この場合、オンプレミスのインフラは DNS リソース枯渇攻撃に対して脆弱なままになります。

それでは、そのどちらかのシナリオで組織が DNS リソース枯渇攻撃から自社を保護するためには、どうすればよいでしょうか。 答えは、Akamai Shield NS53 を利用することです！

また、Shield NS53 はキャッシュから正当なクエリーに応答し、必要な場合のみオリジン・ネーム・サーバーにクエリーを転送することによって、オンプレミス DNS インフラの負荷を軽減します。さらに、このソリューションは、数千台のサーバーで構築された Akamai のグローバルな NAMES Anycast ネットワークにアクセスして、最も近い場所からユーザーのクエリーに応答することで、レイテンシーを低減し、ユーザー体験を向上させます。

理論的には、キャパシティを増やすことで、リソース枯渇攻撃から DNS を保護できます。リソースが多いほど、リソースを枯渇させるためにより大規模で長期的な攻撃が必要になります。しかし、このようなアプローチは財務的に実行可能ではなく、スケーラブルな技術的ソリューションでもないことは明らかです。

Shield NS53 は、すでに展開されているソリューションを最先端のリソース枯渇攻撃から守り、それによって総所有コストを削減して、既存の DNS インフラの投資利益率を最大化することにより、組織が既存の DNS インフラ（ネームサーバー、GSLB、ファイアウォールなど）への投資を保護できるようにします。

表：固有のニーズに合わせてセキュリティソリューションをカスタマイズする方法

控えめに言っても、私たちが暮らす世界は信じられないほどデジタルでつながっています。私たちの日々の生活のほとんどすべての側面が、デジタルインタラクションによって支えられています。そのデジタルインタラクションの土台の一つが基礎的な DNS インフラであり、それがすべてのことを可能にしています。そのため、企業や機関が顧客、エンドユーザー、従業員にシームレスなデジタル体験を提供するためには、DNS インフラを保護することが極めて重要です。

Akamai Shield NS53 は、 Akamai Edge DNS、 Akamai Prolexic、 Akamai App & API Protector を完璧に補完する新しいソリューションです。これにより、オンラインのアプリケーションやユーザー体験を支える信頼性の高いデジタルインフラを必要とする企業や機関向けの総合的な DDoS 防御ソリューションポートフォリオが完成しました。