自分のサーバが DNS リフレクター攻撃の踏み台になっていないかチェックする

DNS サーバーを運用している場合にそれがオープンリゾルバになっていないかどうかについて JPCERT/CC から注意注意喚起が出ています。

DNS の再帰的な問い合わせを使った DDoS 攻撃に関する注意喚起

運用管理対象のキャッシュサーバにおいて再帰的な問い合わせを受け付ける 範囲を確認し、必要最小限になるようアクセス制限を施してください。また、この機会に DNS サーバの設定を確認し、意図した動作をしているか見直すことをお勧めします。

さっそく JPRS の資料^*1に従って、 BIND の設定を確認してみました。この資料に出てくる Test for Open Resolvers というサービスに IP アドレスを打ち込むと自分のサーバーがオープンリゾルバかそうでないかすぐに分かります。画像のように closed の表示が出れば設定は問題ありません。

こういう問題が起きる前から、再帰的クエリは第三者から受け付けるようにしてはいけないと言われていたような気がするんですよね。出所が思い出せませんが、確かバッタ本に書いてあったような気がします。また、以前に DNS のチェックサイトを紹介したときにも、このような再帰クエリを第三者に許可していないかどうかはチェック対象になっていて、そのサービスのチェック結果が "Good. Your nameservers (the ones reported by the parent server) do not report that they allow recursive queries for anyone." となっていたのでした。

† 参考

• 技術解説：「DNS Reflector Attacks（DNSリフレクター攻撃）」について

• ^*1: 設定ガイド：オープンリゾルバー機能を停止するには【BIND編】