「DNSよく分からん勢」に送る　サブドメイン乗っ取り事案から考えるASMの本質：半径300メートルのIT

サービス終了後に残っているDNS設定を利用したサブドメインの乗っ取りについて（出典：JPRSが公開している注意喚起のパンフレット《一部》）

　DNSに関わる課題については、このコラムでも2020年に一度取り上げています。正に同じ「サブドメインテイクオーバー」という問題で、このときも個人のブログなどが消滅したにもかかわらず残っていたDNS設定を悪用し、詐欺サイトが大量に立ち上がっていたという事象からピックアップした話題でした。

　今回はgo.jpの設定が実際に悪用されたわけではなかったのですが、総務省以外にも大量の誤ったDNS設定が掘り起こされており、当時の教訓はなかなか自分ごとになっていなかったという印象です。

「サブドメインテイクオーバー」「NSテイクオーバー」の手法（出典：JPRSのパンフレットから引用）

　DNSに関する設定は大変重要ですが、設定を変更することはほとんどなく、見直されることもないのが実情です。かつては何らかのキャンペーンやプロモーションが実施されるたびに、新しいドメインを取得し終わったら解約することが大きな問題となっていました。しかし、これについては徐々に新規ドメインを取得するのではなく、サブドメインで処理するという運用が浸透してきたかと思います。ただ、サブドメインはサブドメインで、運用終了時にDNS設定も見直す必要があることが抜けてしまっている組織は多いのではないでしょうか。

　DNS周りはなかなか基礎的な知識を持つ人も少なく、「サーバ切り替え時にはDNS浸透のため時間がかかる」という話を信じているエンジニアも多数見かけます。専門的な知識が必要なエリアであり、かつ設定ミスが攻撃に直結するかもしれない部分です。恐らく今後も定期的に話題になるかと思いますが、定期的に話題になるのはいつまでたっても根本的な対策ができていないからです。一体どうしたらいいのでしょうか。

DNS設定の管理＝アタックサーフェスマネジメントの意識で対策を

　DNSの設定については、まずはしっかりとドキュメント化し、更新時、終了時の作業を文書化、定型化する必要があるでしょう。そして、それがしっかり実施されているかどうかを監査するのも大事です。リスクマネジメントの観点から、DNSの設定変更も忘れずに確認する体制を構築しましょう。

　個人的にはこれらに加えて、現在運用中のDNS設定についても、定期的なチェック体制が必要だと考えています。勝手にDNS設定が加えられていたり、削除されていたりすればそれは大きな問題です。定期的な総点検という作業も組み入れられていると望ましいでしょう。特に海外に拠点がある組織であれば、日本以外の国でのDNS設定が適切かどうかを把握しておく必要があるはずです。

　さらに言えば、あまりないと考えたいですが事業部門や個人が勝手に追加したドメイン設定も存在するかもしれません。その観点では、自社が保有するドメインやIPアドレスに対して、IPスキャン、ポートスキャンを定期的に実施し、想定していないサーバが存在していないかどうかもチェックする必要もあります。

　先進的な企業の中には、自社が持つブランドを基に、第三者が似たようなドメインを取得して、不審なコンテンツを公開していないかどうかを定期的にチェックしているところもあります。脆弱（ぜいじゃく）性診断的な観点からも、DNS設定を見直すこともできるかもしれません。

　この意味では、インターネットに露出するドメインやDNS設定が適切かどうかを把握することは、昨今大きな注目を集めるキーワードである「アタックサーフェスマネジメント」そのもののだといえるでしょう。

　アタックサーフェスマネジメントは単にソリューションを導入するというものではなく、リスク管理やガバナンスといった、組織力そのものが必要であり、ベンダーに全部任せられるものではありません。それを考えると、このようなチェックポイントを含めてアタックサーフェスマネジメントであり、それはもう「セキュリティ対策」そのもののような気もします。

　セキュリティ対策はあまりにも幅が広く、見逃している部分も多数あるかと思います。今回の注意喚起をきっかけとし、組織のセキュリティ対策に不足が見つかったら、その部分を頭の片隅に入れ、次のタイミングでぜひチェックリストに加えてみてください。

著者紹介：宮田健（みやた・たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門　「木曜日のフルット」と学ぼう！〈漫画キャラで学ぶ大人のビジネス教養シリーズ〉』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる。