DoS攻撃の標的｜情報処理安全確保支援士 平成28年 春期午前Ⅱ試験 問2
出典：平成28年春期 午前Ⅱ 問2
分野：セキュリティ ／ 情報セキュリティ
次の攻撃において，攻撃者がサービス不能にしようとしている標的はどれか。
〔攻撃〕
（1）A社ドメイン配下のサブドメイン名を，ランダムに多数生成する。
（2）（1）で生成したサブドメイン名に関する大量の問合せを，多数の第三者のDNSキャッシュサーバに分散して送信する。
（3）（2）で送信する問合せの送信元IPアドレスは，問合せごとにランダムに設定して詐称する。
〔攻撃〕
（1）A社ドメイン配下のサブドメイン名を，ランダムに多数生成する。
（2）（1）で生成したサブドメイン名に関する大量の問合せを，多数の第三者のDNSキャッシュサーバに分散して送信する。
（3）（2）で送信する問合せの送信元IPアドレスは，問合せごとにランダムに設定して詐称する。
- ア：A社ドメインの権威DNSサーバ
- イ：A社内の利用者PC
- ウ：攻撃者が詐称した送信元IPアドレスに該当する利用者PC
- エ：第三者のDNSキャッシュサーバ
TSUNAGARU-ADVICE
まず押さえたいこと
この攻撃は、存在しないランダムなサブドメイン名を大量に問い合わせることで、DNSキャッシュが効きにくい状況を作り、問い合わせを対象ドメインの権威DNSサーバへ集中させるDNS水責め攻撃です。ポイントは、多数のDNSキャッシュサーバを経由して権威DNSサーバへ負荷を集中させることです。
迷ったときの判断軸
送信元IPアドレスが詐称されていても、攻撃者がサービス不能にしようとしている対象が詐称先とは限りません。この問題では、ランダムなサブドメイン名なのでキャッシュから回答しにくく、第三者のDNSキャッシュサーバがA社の権威DNSサーバへ問い合わせを繰り返します。最終的に問い合わせが集中する場所はどこかを追って判断しましょう。
科目Bにつなげるために
科目Bでは、DNS水責め攻撃・DNSリフレクション・送信元IPアドレス詐称・キャッシュ・権威DNSサーバなどを組み合わせた事例が考えられます。通信経路を読むときは、攻撃者から最初にパケットを受け取る機器だけを見るのではなく、問い合わせや応答が最終的にどこへ集中し、どの資源が枯渇するのかまで追跡しましょう。
この攻撃は、DNS水責め攻撃（DNS Water Torture Attack）やランダムサブドメイン攻撃と呼ばれるDDoS攻撃です。攻撃者は、標的となるドメインの権威DNSサーバに大量のDNS問合せを発生させ、名前解決サービスを処理できない状態にすることを狙います。
まず、DNSキャッシュサーバ（フルサービスリゾルバ）は、利用者からドメイン名の問合せを受けると、自身のキャッシュを確認します。有効なキャッシュが存在すれば、その情報を利用者へ返します。一方、キャッシュが存在しなければ、必要に応じてDNSの階層をたどり、最終的にそのドメインを管理する権威DNSサーバへ問い合わせます。
この攻撃では、攻撃者が「abc123.example」「x7p9q.example」のように、A社ドメイン配下のサブドメイン名をランダムに大量生成します。サブドメイン名が毎回異なるため、第三者のDNSキャッシュサーバには対応する情報がキャッシュされていない可能性が高くなります。
その結果、攻撃に利用された各DNSキャッシュサーバは、「このサブドメインの情報はないか」とA社ドメインの権威DNSサーバへ繰り返し問い合わせることになります。多数のDNSキャッシュサーバに異なるランダムサブドメインを問い合わせれば、それぞれでキャッシュミスが発生し、A社の権威DNSサーバへ大量のDNSクエリが集中します。
つまり、攻撃の流れは攻撃者 → 多数のDNSキャッシュサーバ → A社の権威DNSサーバとなります。DNSキャッシュサーバを経由させることで、多数の場所からA社の権威DNSサーバへ問合せを集中させ、処理能力やネットワーク帯域を消費させることが狙いです。
また、設問ではDNS問合せの送信元IPアドレスもランダムに詐称しています。これによって応答先を攻撃者自身以外にすることができますが、この設問でサービス不能にしようとしている中心的な標的は、問合せが集中するA社ドメインの権威DNSサーバです。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：A社内の利用者PC
⇒A社内の利用者PCへ大量の通信を送り付ける攻撃ではありません。攻撃者が生成したランダムなサブドメインに関するDNS問合せは、最終的にA社ドメインを管理する権威DNSサーバへ集中します。
ウ：攻撃者が詐称した送信元IPアドレスに該当する利用者PC
⇒詐称されたIPアドレスにはDNS応答が送られる可能性がありますが、この攻撃で大量の名前解決処理を発生させてサービス不能にしようとしている中心的な標的ではありません。送信元IPアドレスの詐称は、攻撃元を分かりにくくしたり、応答先を別の端末にしたりするために利用されています。
エ：第三者のDNSキャッシュサーバ
⇒第三者のDNSキャッシュサーバは、攻撃者から問合せを受けて権威DNSサーバへ問い合わせる中継役として悪用されています。大量のランダムサブドメインによるキャッシュミスを発生させ、その先にあるA社ドメインの権威DNSサーバへ問合せを集中させることが、この攻撃の狙いです。