DNS権威サーバのクラウドサービス向けに行われた攻撃および対策 〜前編〜 | さくらのナレッジ
長野雅広といいます。 Twitter / GitHub は @kazeburo というIDでやっておりますので、フォローいただけたらと思っております。 現在はさくらインターネット株式会社のクラウド事業本部 SRE室というところで室長を務めさせていただいております。 ずっとWebアプリケーションの運用やSREをやっておりまして、ISUCONの本を書いたりもしているのですけれども、JANOGは実は初めての参加になりますので、ぜひよろしくお願いいたします。 今回は、DNS権威サーバのクラウドサービス向けに行われた攻撃および対策について、お話しさせていただきます。 SRE室の取り組み SRE室がどんなことをやっている部署かという話ですが、2022年7月、去年の夏に発足した、新しめの部署になります。ミッションとして、クラウドサービスの信頼性を高めるとか、お客様や社会のDXをしっかり支えるということを
インターネット・トリビア: ドメインの根っこ
IIJでは広報誌「IIJ.news」を隔月で発行しています。本blogエントリは、IIJ.news連載コラム「インターネット・トリビア」を転載したものです。IIJ.newsはご希望者へ郵送でお送りしています。また、IIJ Webでも記事をご覧頂けます。 IIJ.news vol.172 もくじ ぷろろーぐ「人間なしに終わる」 / 鈴木 幸一 特別対談 人となり 阪急阪神ホールディングス株式会社 代表取締役会長 グループCEO 角 和夫氏 株式会社インターネットイニシアティブ 代表取締役社長 勝 栄二郎 Topics お客様の声を聞く取り組み お客さまの声がサービスを育てる / 黒澤 憲太郎 サポート向上推進プロジェクト / 大國 裕一郎 カスタマーアンケートを通して / 近藤 将吾 障害・災害対策 / 藤井 直人 システム担当者のリアルな本音に迫る / 向平 友治 IIJ Research
Facebookが10月5日の全面ダウンの詳細を報告。バックボーンの停止がBGP停止となりインターネットから離脱、外部からのアクセスを失いデータセンターに乗り込んで対応
Facebookが10月5日の全面ダウンの詳細を報告。バックボーンの停止がBGP停止となりインターネットから離脱、外部からのアクセスを失いデータセンターに乗り込んで対応 FacebookおよびInstagramなどが日本時間の10月5日午前0時40分頃から午前8時頃まで全面的にダウンした件について、Facebookはその経過や原因についての詳細を「More details about the October 4 outage」として同社のブログで公開しました。 下記は同社CTO Mike Schroepfer氏のツイート。 Yesterday’s outage across our products was a bad one, so we’re sharing some more detail here on exactly what happened, how it happened,
CloudflareやAppleなどが協力して新プロトコル「Oblivious DNS over HTTPS(ODoH)」を開発
CloudflareとAppleなどが協力して新しいDNSプロトコル「Oblivious DNS over HTTPS(ODoH)」を発表しました。ODoHを利用することで、これまでDNSリゾルバから確認できたクライアントの送信元IPアドレスを秘匿し、プライバシーを向上させることができます。 Improving DNS Privacy with Oblivious DoH in 1.1.1.1 https://blog.cloudflare.com/oblivious-dns/ Cloudflare, Apple and Fastly Create Improved, Private DNS https://www.webpronews.com/cloudflare-apple-and-fastly-create-improved-private-dns/ Oblivious DNS-ov
ある日突然、自社ドメインが乗っ取られた――“原因も手口も不明”の攻撃に、セキュリティチームはどう立ち向かったか
2020年6月、仮想通貨取引所「Coincheck」を運営するコインチェックのコーポレートサイトに、あるセキュリティインシデントの報告書が掲載された。当時、重要な事例として筆者のセキュリティ連載「半径300メートルのIT」でも取り上げたことから、記憶に残っている読者もいるのではないだろうか。 インシデントのあらましを簡単に説明しよう。これは、コインチェックが利用する外部のドメイン登録サービスにおいて、コインチェックのネームサーバ（DNS）情報が、何者かに書き換えられたものだ。これにより、同社のドメインのレコードが偽のDNSに登録され、同社にメールで問い合わせた顧客のメールアドレスと本文が第三者に流出する可能性があった。コインチェックはインシデント発生後、対応についてのレポートを公開するとともに、利用するドメイン登録サービスを変更したと発表した。 このインシデントは、一般に「不正アクセス」と
Azure が提供するデフォルトドメイン名を狙った改ざんについて注意喚起 - しばやん雑記
Twitter でちらほら見かけて自分も軽く反応したんですが、ターゲットが Cloud Services と Traffic Manager だったので多少なりとも書いておいた方が良いかなと思ったので、注意喚起を兼ねて書きます。 今回の件を改ざんと書くのは微妙に違う気がしたのですが、元のツイートは改ざんと表現していたので倣って改ざんとしておきます。このあたりの定義は難しそうです。 MS Azure Cloud Services のデフォルトドメイン cloudapp[.]net にCNAMEが向いている大量のWebサイトが改ざんされているようです。 Googleでの検索結果には何れも星評価が付いています。 (1/N) pic.twitter.com/5kDUZTGPg2— tike (@tiketiketikeke) 2020年7月6日 クラウドサービスにCNAME定義されたドメインを狙い
Subdomain Takeoverによる詐欺サイトへの誘導についてまとめてみた - piyolog
2020年7月までに国内外の複数のドメイン名が「Subdomain Takeover」とみられる影響を受け、当該サイトに接続した利用者が詐欺サイトに誘導される事象が発生しています。ここではこの事象に関連する情報をまとめます。 何が起きてるの？ 誘導される詐欺サイトの一例 大手組織を含む複数のドメイン名において、検索サイトから接続した際に詐欺サイトへ遷移させる事象が発生していた。 各組織管理のサーバーやレジストラ、CDNサービスが直接被害を受けたのではなく、Subdomain Takeoverと呼称される手法により過去使用されていたドメイン名が狙われたとみられる。 どう対応すればよい？ 不要なCNAMEレコードを削除する。 影響範囲は？ 正確な被害状況は把握していないが、複数の国内外のドメイン名が影響を受けており、検索にかかるものだけでも100件以上をpiyokangoは確認（2020年7月
新進気鋭のDNSサービス「NextDNS」を使うと何ができるのか？
「gigazine.net」といったドメイン名をコンピューターが処理できるIPアドレスに変換するDNSは、インターネットを支える重要な技術です。そんなDNSサービスのひとつである「NextDNS」の機能について、クラウドサービスのエンジニアであるStanislas Lange氏が説明しています。 NextDNS is my new favourite DNS service https://angristan.xyz/2020/04/nextdns/ Lange氏はDNSサービスとして、広告をネットワークレベルでブロックできる「Pi-hole」や、Cloudflareが提供する「1.1.1.1」、「AdGuard DNS」などの利用を検討しましたが、通信の遅延や信頼性において、いずれもLange氏の要求水準を満たさなかったとのこと。 そんな中Lange氏が出会ったのが「NextDNS」でし
DNS over HTTPS (DoH) の動向 - セキュリティは楽しいかね？ Part 2
TL;DR 主要ブラウザのサポートによって DoH の普及がますます進みそう DoH はユーザのプライバシー向上に寄与するが、一方でセキュリティ面など懸念材料も多い 一般ユーザにはまずは使ってみることをオススメする (個人の意見です) 企業内では現状はブロックすることをオススメする (個人の意見です) 目次 TL;DR 目次 動向整理 DoH 推進派 DoH 反対派 (おまけ) DoH サポート状況まとめ Browser vendors Firefox (Mozilla) Chrome (Google) Windows (Microsoft) Application / Tool 1.1.1.1 (Cloudflare) cloudflared DOH Proxy Curl goDoH DoHC2 DNSBotnet Publicly available servers Spec Time
Firefoxでデフォルト有効化されるかもしれないDNS over HTTPSへの企業での対応について - 2020-02-27 - ククログ
昨日、Firefoxの米国エリアユーザーに対して段階的に「DNS over HTTPS」の有効化が反映されていくことになった、という話がニュースになっていました。 ついにFirefoxがDNSとの通信を暗号化する「DNS over HTTPS」をデフォルトで有効にすると発表 - GIGAZINE DNS over HTTPSとは？ 今までの名前解決との違い DNSとは、www.clear-code.comのようなドメイン名の文字列を153.126.132.63のようなIPアドレスに解決する（名前解決をする）という、インターネットにおけるかなり根幹の部分を支えている仕組みです。 この問い合わせ・応答の通信は特に暗号化も認証もなされていないため、問い合わせ内容の盗聴や応答の偽装が技術的には可能となっています。身近な場面では、空港や飲食店などのパブリックWi-Fiでそのような攻撃を受ける恐れがあ
ドメイン名の乗っ取りに関する注意 | JPドメイン名の登録 | JPRS
ドメイン名の乗っ取り（ドメイン名ハイジャックとも呼ばれる）は、ドメイン名の管理権限を持たない第三者が、不正な手段で他者のドメイン名を自身の支配下に置く行為です。 企業が利用しているドメイン名が乗っ取られた場合、 「正しいURLでWebにアクセスしているのに、偽のWebサイトが表示される」、 「企業宛ての電子メールが盗まれ、機密情報や顧客情報が流出する」、 「ドメイン名の名義が第三者のものに書き換えられてしまう」 といった企業の信頼に直結する被害が発生します。 ドメイン名の乗っ取りの手法としては、主に以下の二つの手段が用いられます。 DNSサーバーを狙い、不正な応答を返すようにする ドメイン名の管理権限を奪い、登録情報を書き換える 企業のWeb担当者など、ドメイン名の管理に関わる立場においては、特に後者によるドメイン名の乗っ取りを防ぐために適切な管理を行う必要があります。 企業など組織におい
DNS over TLS/HTTPSについて考える | IIJ Engineers Blog
はじめに 昨年から DNS over TLS （DoT）、DNS over HTTPS （DoH） にまつわる動きが急速に活発になっています。 DoT は2016年に RFC7858 が出てしばらくは大きな動きはありませんでしたが、2017年11月にサービス開始した public DNS である Quad9 （9.9.9.9）、昨年4月開始の Cloudflare （1.1.1.1）が相次いで DoT に正式対応し、遅れて今年1月には Google Public DNS （8.8.8.8） も対応しました。クライアント側としては昨年8月リリースの Android 9 “Pie” が DoT に対応しています。 DoH は仕様の標準化より実装の方が先行しています。Cloudflare は DoT だけでなく DoH も昨年4月のサービス開始当初からサポートしています。Mozilla Fire
DNSフィルタリングで端末をガード Soliton DNS Guard | リモートファースト/ゼロトラスト | ソリトンシステムズ
サイバー脅威・有害情報をGuard 社内・モバイル・テレワークどこでもGurad アプリに依存せずブラウザ以外の通信もGuard サイバー攻撃は更なる進化を遂げ、あらゆるユーザーが標的に サイバー犯罪者の手口は日進月歩で巧妙化しており、それに伴いターゲットも大企業から個人まで、インターネットを利用するあらゆるユーザーが狙われています。 攻撃手段も従来からあったメール経由でのマルウェア感染や悪性サイトへの誘導、広告ネットワークから悪性サイトに誘導したり（Malvertising）、不正サイトを検索結果の上位に表示させる事でユーザーを欺く手口などが出現しており（SEO Poisoning）、どこに脅威が潜んでいるのか一般ユーザーにとって判別するのは困難になって来ています。 悪性ドメインと通信を行う前にブロック Soliton DNS Guardは、リアルタイムで更新される脅威ドメイン情報を元に
IIJ Public DNSサービス
サービス内容 IIJ Public DNSサービス（以下、本サービス）はDNS over TLS（DoT/RFC7858）、DNS over HTTPS（DoH/RFC8484）を利用した名前解決サービスです。 DoT、DoHは、従来用いられているDNSに変わる名前解決のためのプロトコルとして開発が進められています。 IIJでは、DoT、DoHによる名前解決の実用性の確認、また、DoT、DoHに対応したDNSサーバの運用ノウハウの獲得のため、試験的にDoT、DoH対応の名前解決サービスを提供いたします。本サービスはpublic DNSとして、IIJをご契約の方以外でもご利用いただくことができます。 DoT、DoHにご興味があり、本ページでご案内の条項に同意いただける方は、ご利用中のパソコン・スマートフォンに設定を行うことで、本サービスを利用した名前解決を行うことができます。 DoT、DoH
IIJに対してマルウェア対策のDNSブロッキングについての質問の回答
私の使っているISPであるIIJmioひかりはマルウェア対策のDNS検閲を開始すると宣言した。 IIJのセキュリティに関する取り組み | インターネットイニシアティブ（IIJ） IIJの説明を読むと、IIJの提供するDNSサーバーは、マルウェアが指令や通信をするのに使うことが知られているC&Cサーバーのドメイン名の解決を行わないのだという。彼らはこれをDNSフィルタリングと読んでいるが、私はDNS検閲と呼ぶことにする。あるいは少し前に話題になったDNSブロッキングと呼ぶのもよい。 IIJによると、DNS検閲はデフォルトで有効であり、オプトアウトするためには、IIJが用意したDNS検閲を行わないDNSサーバーを使う必要があるという。 しかし、このDNS検閲の実装方法や、マルウェアの定義が疑問なので、IIJに対して質問することにした。 質問「DNSフィルタリングを行うDNSサーバーは、ユーザー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
近年のDNSはプロトコル拡張が活発すぎる!? 現時点で意識しておくべきリソースレコードとは【DNS Summer Day 2022】
Windows 11で可能になったパブリックDNS利用時のDoHによる暗号化を試す【イニシャルB】
TechCrunch
GoogleのパブリックDNSサービス、「DNS over HTTPS」の正式リリースを発表
ハッカーによる「DNSハイジャック」の急増が、インターネットの信頼性を破壊する