権威DNSサーバ（Authoritative DNS Server）とキャッシュDNSサーバ（Caching DNS Server）は、役割も構造も異なります。
それぞれの違いと、DNSキャッシュポイズニング対策も合わせてまとめます。
【違いの一覧】
| 特徴 | 権威DNSサーバ | キャッシュDNSサーバ（リゾルバ） |
|---|
| 主な役割 | ドメインの正しい情報を保持・提供 | 名前解決のために他のDNSに問い合わせ |
| 情報の出所 | 正確なゾーン情報を持つ（正本） | 他のDNSから取得した情報を一時保存 |
| 情報の更新 | 管理者がゾーン情報を更新 | TTLに従って自動的にキャッシュを更新 |
| 外部問い合わせ | 基本的には行わない | 他のDNSに問い合わせを行う |
| キャッシュ機能 | 基本的に持たない（オプション） | ある（再利用して高速化） |
| 例 | `.com`の権威DNS、企業のネームサーバなど | 自宅のルータ内DNS、ISPのDNSなど |
【DNSキャッシュポイズニングの概要】
DNSキャッシュポイズニングとは、DNSキャッシュサーバに偽の情報を注入することで、利用者が偽のWebサイトなどに誘導される攻撃です。
【対策方法】
● 権威DNSサーバ側の対策
| 対策 | 内容 |
|---|
| DNSSECの導入 | DNS応答に電子署名を加え、改ざんを検出可能にする |
| ゾーン転送の制限 | AXFR（ゾーン転送）を制限して外部からの情報取得を防ぐ |
| 正しい設定の維持 | NSレコードやAレコードの整合性を保ち、第三者による偽情報の注入を防ぐ |
● キャッシュDNSサーバ側の対策
| 対策 | 内容 |
|---|
| DNSSECの検証 | 応答の署名を検証し、正しい情報だけをキャッシュ |
| クエリIDのランダム化 | 攻撃者が応答を偽造しづらくする |
| ソースポートのランダム化 | 攻撃者がリクエストに正しく応答しにくくする |
| TTLの制御 | TTLが異常に長い or 短い値を排除する |
| 信頼できる上位DNSのみ参照 | 不審なリゾルバやプロキシを使わない |
【まとめ】
| 用語 | 主な機能 | キャッシュ持つ？ | 攻撃されやすさと対策 |
|---|
| 権威DNS | 正しいDNS情報提供 | ×（基本） | DNSSECの導入、ゾーン管理の厳密化 |
| キャッシュDNS | 名前解決・応答の高速化 | ○ | DNSSEC検証、乱数強化、TTL制御 |
にほんブログ村
この記事へのコメント