Systemの略で、あるドメインがどのIPアドレスなのかを管理する仕組み。DNSを管理するサーバをDNSサーバや単にネームサーバと呼ぶ。DNSはインターネットを利用すると必ず利用する。http://www.yahoo.co.jp/にアクセスする際は、PCはネームサーバに問い合わせてサーバのIPアドレスを取得する。Yahooの場合は203.216.243.240が返ってくるので、ブラウザに直接入力しても確認できる。IPアドレスは覚えられないが、ドメインなら覚えられるという点でとても便利。http://203.216.243.240/DNSサーバが管理している情報DNSサーバはドメインとIPアドレスを関連づけるゾーン情報をもっている。ゾーン情報はドメインベースで管理され、Aレコード、MXレコードなどのレコードと呼ばれる項目でWebサーバやメールサーバを管理している。サーバーのプライベートIPアドレス上記の例ではsample.example.comはXXX.XXXX.XXXX.XXXのIPアドレスと対応づけられている。(パケットログ解析)概要インターネットの応答が遅いとの苦情。そこで、J主任とK君の登場。原因調査と対処(a)登場。図1でDNSの問題につながるのは、名前解決をしている(r)しかない。パケット解析が始まる。ややこしいが、図3をしっかり確認。responseがある。(b),(c)が登場し、読み進めると「不正なDNSクエリ」というところで、これはDNSキャッシュポイゾニングの攻撃を受けていると気づいた。DNSキャッシュポイゾニングは内部からの問い合わせであると偽装しているので、(b)はアとなり(c)は偽装にしておいた。(d)はもちろん、アとなる。(e)(f)と下線部1登場。DNSが踏み台にされる可能性に対応せよとの指示がでる。踏み台ってことは、外部からきて外部へ出て行くということで、図3をみると宛先が外部でレスポンス内容も外部だと割と証拠になると判断。下線部1については、この場合コンテンツサーバとキャッシュサーバが同じサーバで機能しているので、外部からの再帰問い合わせを無効にすればよい。この辺りは、よくでる論点なので問題の意図が読みやすい。VIに異常な通信があるとのこと。図3を見るとMXレコードを引いているのでメールに関係することが分かる。(g)迷惑メールを選択。何が異常か聞いている。メールを送信するときは、DMZ上のメールサーバがDNSに問い合わせをすると思われる。考えると、社内から外部に直接メールを送ろうとしているのは怪しい。VIIも怪しいとのこと。SYNが連続しているのでSYNフラッド攻撃が思い浮かんだ。該当するものを2つ選べとの指示。1つはコネクションの接続の低下で、もうひとつは、この場合図4をみると内部ネットワークからの接続なのでDNSへの問い合わせなしに直接攻撃していると思われる。怪しい1台のPCを特定する。不審な通信プロセスとは何かと聞いている。何を答えさせたいか、いまいちピンとこない。ウィルスが行う通信って何やろ。監視している項目は、通信プロセス名、実行ファイル名、通信の宛先IPアドレスとポート番号なので、このなかから選べばよいのか??とりあえず、今までのパケット解析から得られた宛先IPアドレスとサービスポートの番号にマッチするプロセスを特定すべきという内容をかいておく。TCP/UDPが自動的に発信されるとのこと。DNSの問い合わせやDHCPとかはUDPだったような記憶もあるが、hostsファイルの改ざんでひらめいたことにつながらない。hostsファイルはすべてローカルホストに向いてるが回答は思い浮かばない。ログインしていれば、自動的に出るTCP/UDPパケットって・・・思い浮かばない。(サーバの情報セキュリティ対策)[概要]従業員1000人の通信販売会社の話。カタログ販売とネット販売を行っている。Y社のネットワーク構成おなじみのDMZのパターン。DNSキャッシュポイゾニングDNSリフレクションDNSリフレクションの仕組みリフレクションとは反射のこと。攻撃するのではなく、あえてDNSサーバに反射させて攻撃する。仕組みは簡単で、DNSサーバに送信元IPアドレスを偽装して、攻撃したい対象に問い合わせる。ポイントは、DNSサーバに問い合わせる時よりも、返ってくるパケットのサイズの方がかなり大きいこと。amp(アンプ)とは、スピーカみたいなやつで音を大きくする装置。DNSDNSキャッシュポイゾニングDNSキャッシュポゾニングの仕組みDNSキャッシュポイゾニングは、偽のゾーン情報をDNSに登録し、悪意あるサイトに誘導する手法である。簡単に説明すると、DNSサーバがゾーン情報を問い合わせ正規の回答をもらう前に、攻撃者が偽の回答を送りつけDNSサーバに登録するという手法である。DNSキャッシュポイゾニングは「コンテンツサーバとキャッシュサーバ」の違いや「再帰問問合せと反復問合せの違い」を知らないと理解しにくい。Live)に設定されている時間だけキャッシュする。あるホスト名のTTLの時間が経過している場合に、攻撃者がホスト名をこのDNSに問合せ、自分で回答を送りつけることで、偽の回答をキャッシュさせる。これをDNSキャッシュポイゾニングという。この攻撃が成功するためには下のようにいくつかの条件が必要となる。トランザクションIDが正しいDNSサーバは16bitのトランザクションIDを見て回答が正規のパケットかどうか判断している。トランザクションIDが推測しやすいものであれば、偽の回答がキャッシュされる可能性は高くなる。Live)の時間だけキャッシュし、それを超えると上位のDNSサーバに問合せる。偽の回答が正規の回答よりも到達する正規の回答の方が早く到達すると、TTLの時間は偽の回答を受け付けない。「再帰問合せは信頼できるユーザにのみ提供する」というのが基本的な考え方となる。その他の対策その他の対策としてはDNSSECやSSLでの暗号化などの機能が存在する。「情報セキュリティマネジメント試験」WAFとファイアウォールの違いYouTubeで解説動画はじめます。