RPZとは何ですか？

RPZ（レスポンスポリシーゾーン）とは、レコードに通常のデータではなく、再帰型リゾルバー向けのポリシールールを保持するDNSゾーンのことです。リゾルバーはこれらのルールを使用して、指定されたホスト名に対する応答を変更またはブロックします。これは、多くのDNSファイアウォール機能の基盤となる仕組みです。

DNSにおけるRPZとは？

DNSにおいて、RPZは「レスポンスポリシーゾーン（Response Policy Zone）」の略です。この用語は、ゾーンのフォーマットおよびそれを読み取るリゾルバの機能に対して使用されます。DNS以外の分野では、同じ頭文字の略語が配管機器など、全く関係のないものを指す場合があります。

DNS RPZ はどのように設定しますか？

ポリシーゾーンを作成または購読した後、再帰的リゾルバーを設定してそのゾーンを読み込み、応答に適用します。ほとんどのリゾルバーでは、これはゾーンを宣言し、応答ポリシー設定でそのゾーンに名前を付け、ソースからセカンダリ転送を選択することを意味します。実際に依存する前に、ブロックされることが分かっている名前を使ってテストを行ってください。

RPZのテスト方法は？

ポリシーゾーンに登録されていることが分かっている名前をリゾルバ経由でクエリし、応答が設定されたアクションと一致するかどうかを確認してください。また、そのゾーンを使用していないリゾルバに同じクエリを送信し、その結果と比較してください。さらに、リゾルバのログを確認して、一致したことが記録されているかを確認してください。

RPZはファイアウォールの代わりになりますか？

いいえ、RPZはファイアウォールの代わりにはなりません。RPZはリゾルバを経由するDNSルックアップに対してのみ作用するため、生のIPアドレスへのトラフィックや、別のリゾルバを経由するトラフィックは対象外となります。ネットワーク制御やエンドポイント制御と併せて、一つの層として活用するのが最も効果的です。

用語集
RPZ（レスポンス・ポリシー・ゾーン）とは？

DNS用語集

RPZ（レスポンス・ポリシー・ゾーン）とは？

レスポンス・ポリシー・ゾーン（RPZ）は、再帰的リゾルバーが返す応答にポリシーを適用できるようにするDNSセキュリティメカニズムです。ルールを通常のDNSゾーン内のレコードとして保存するため、管理者は指定した名前やアドレスに対するクエリをブロック、リダイレクト、または許可することができ、ゾーン転送によってルールを配布できます。

DDIをシンプルにしましょう

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

主なポイント

レスポンス・ポリシー・ゾーン（RPZ）は、標準的なDNSゾーンに適用ルールをレコードとして保存することで、再帰的リゾルバーがDNS応答にポリシールールを適用できるようにするDNSセキュリティメカニズムです。これにより、管理者は特定のドメインに対するクエリをブロック、リダイレクト、または許可することができ、ゾーン転送を通じてそれらのルールを配布できます。 RPZは、エンドポイントソフトウェアを必要とせずに数千台のデバイスに適用できる、一元化されたポリシーベースのDNSフィルタリングを組織に提供します。既知のマルウェア、フィッシング、またはコマンド＆コントロールドメインへの接続を早期に遮断することでセキュリティ上の価値をもたらすと同時に、感染したホストを特定するためのログを生成します。ただし、RPZはDNSレイヤーでのみ動作し、正当なサービスをブロックしないよう慎重な管理が必要であるほか、直接的なIP接続や外部リゾルバーを使用するクライアントに対しては保護できないため、より広範なネットワークセキュリティ戦略の一層として最も効果を発揮します。

RPZルールは標準的なDNSゾーン転送を通じてリゾルバーに配信されるため、リゾルバーの再起動や手動による設定変更を必要とせずに、脅威インテリジェンスフィードやカスタム許可／ブロックリストを継続的に更新することが可能です。
ポリシールールが広範囲に及んだり、ゾーン転送が古くなったりすると、組織全体で正当なサービスがブロックされたり、リゾルバーが新たな脅威に対する保護措置を最新の状態に保てなくなったりして、運用に重大な支障をきたす可能性があります。
RPZでは、IPアドレスへの直接接続や、パブリックDNSサービスやDNS over HTTPSなどの外部リゾルバーを使用するクライアントからのクエリをブロックすることはできないため、これらのバイパスシナリオに対処するには、補完的なネットワーク制御が必要となる。

RPZの概要

Attribute	Value
Full name	Response Policy Zone
Category	DNS security control
Primary use	Applying domain-based policy to recursive resolver answers, such as blocking known malicious domains
Related terms	Recursive resolver, DNS zone, Zone transfer, DNS firewall, NXDOMAIN, DNS sinkhole

RPZの仕組み

RPZとは、通常のデータではなくポリシーを記述するレコードを持つ、通常のDNSゾーンのことです。このゾーンを使用するように設定されたリゾルバーは、各応答を生成する際にそのルールを確認します。

ポリシーゾーンの公開：管理者またはフィードプロバイダーがゾーンを作成します。このゾーンでは、所有者名やレコードデータに、トリガーとなるドメイン名や実行すべきアクションなどのルールがエンコードされます。
リゾルバーへの配布：リゾルバーは標準的なゾーン転送を通じてゾーンをセカンダリとして読み込むため、ルールの更新は再起動や手動での編集を必要とせずにリゾルバーに反映されます。
クエリの照合：クライアントが名前を要求すると、リゾルバーはクエリ名、および場合によっては返されたアドレスやネームサーバーを、ポリシールールと照合します。
アクションの適用：ルールに一致した場合、リゾルバーは応答を書き換えます。一般的なアクションには、NXDOMAINを返す、空の応答を返す、リダイレクト先を返す、または応答をそのまま通過させるなどがあります。
レスポンスを返す：クライアントは変更された、あるいは元の応答を受け取りますが、その結果として生じる動作以外からは、ポリシーが適用されたことを通常は判別できません。

一致の判定は、RPZをサポートし有効にしているリゾルバー上でのみ行われ、複数のポリシーゾーンにまたがってルールの順序を指定することで優先順位を設定できます。また、多くのリゾルバーでは一致した記録をログに記録できるため、セキュリティチームは、どのクライアントがブロックされた名前をクエリしたかの記録を確認できます。

エンタープライズネットワークにおいてRPZが重要な理由

RPZは、すべてのクライアントがすでにクエリを送信しているリゾルバ上で、ドメインベースのポリシーを適用する手段を組織に提供します。1つのポリシーゾーンで、エンドポイントソフトウェアを実行できないデバイスを含め、数千台のデバイスをカバーできます。ルールは通常のDNSゾーンとして配布されるため、チームは脅威インテリジェンスフィードを独自の許可リストやブロックリストと組み合わせ、継続的に更新することができます。

そのセキュリティ上の価値は、早期の遮断にあります。既知のマルウェア、フィッシング、またはコマンド＆コントロール（C&C）ドメインへのルックアップをブロックまたはリダイレクトすることで、接続が確立される前に阻止することができ、ログに記録された一致情報により、クエリパターンから感染したホストを特定するのに役立ちます。 RPZはDNSレイヤーでのみ機能するため、トラフィックを検査することはなく、IPアドレスに直接接続するクライアントや、組織の管理外にあるリゾルバーを使用するクライアントを阻止することはできません。

管理の不備は深刻な混乱を招きます。範囲が広すぎるルールや不適切なフィードエントリは、組織全体の正当なサービスをブロックする恐れがあり、古くなったゾーン転送や転送の失敗は、リゾルバーの保護機能を時代遅れにしてしまう可能性があります。また、書き換えられた応答は、独自に検証を行うクライアントのDNSSEC検証を破綻させる恐れもあります。チームは、ルールのテスト、許可リストの管理、ゾーン転送の監視、および一致ログの定期的な確認を行う必要があります。

RPZと関連用語の比較

RPZ 対 DNS シンクホール

DNSシンクホールとは、望ましくない名前に対して制御された応答を返す技術であり、RPZは、そのような応答を生成するためのルールを公開・配布するための標準化された方法です。DNSシンクホールとは？

Attribute	RPZ	DNS sinkhole
Nature	Policy format and distribution mechanism	Response technique
Rule storage	Records in a DNS zone	Depends on the implementation
Distribution	Zone transfer to secondary resolvers	Configured per resolver or by the product used
Typical outcome	NXDOMAIN, NODATA, passthru, drop, or a local data answer	Answer pointing to a monitored or inert address

RPZ 対プロテクティブ DNS

プロテクティブDNSは、悪意のあるルックアップをフィルタリングするセキュリティサービスまたはアプローチであり、RPZはそのフィルタリングを実装するために使用できるリゾルバ機能の一つです。プロテクティブDNSとは何ですか？

RPZの一般的な問題点

共有ホスティングやコンテンツ配信ドメインなど、範囲が広すぎるフィードエントリは、無関係なサイトをブロックしてヘルプデスクへの問い合わせを引き起こす可能性があります。フィードの手前に配置されたローカルポリシーゾーンで、影響を受ける名前に対してパススルールールを追加してください。

複数のポリシーゾーンが設定されている場合、リゾルバーはリストされた順序でそれらを評価するため、ローカルの許可リストよりも前に配置されたフィードが、その許可リストを上書きする可能性があります。ゾーンの順序が修正されるまで、エンジニアは許可エントリがあるにもかかわらず、その名前が依然としてブロックされているのを目にするでしょう。

TSIGキーの不一致、ファイアウォールルール、または有効期限が切れたアクセスリストが原因で、フィードプロバイダーからのゾーン転送が失敗した場合、リゾルバーは古いゾーンを引き続き提供し続け、新たな脅威がブロックされなくなります。これを検知するには、プライマリゾーンとのゾーンシリアル番号を照合して監視してください。

ポリシーゾーンの規模が非常に大きいと、メモリ使用量や読み込み時間が増加し、転送後の完全な再読み込みにより、クエリ処理が一時的に遅くなる場合があります。症状としては、フィードの更新後にレイテンシの増加やメモリ使用量の増加が見られます。

パブリックリゾルバー、ブラウザのDNS over HTTPS、またはハードコードされたサーバーを使用するクライアントは、ポリシーゾーンを参照することはありません。アウトバウンドDNSが承認されたリゾルバーに限定されるまでは、一部のデバイスではブロックが機能し、他のデバイスでは機能しないように見える場合があります。

統合型DDIがネットワーク運用をいかに簡素化するかをぜひご覧ください

自動化、可視性、制御機能が組み込まれた単一のプラットフォームから、DNS、DHCP、IPアドレスを管理できます。

お問い合わせ

インテリジェント・ネットワーク

RPZ（レスポンス・ポリシー・ゾーン）とは？

DDIの簡素化を始めませんか？

RPZの概要

RPZの仕組み

エンタープライズネットワークにおいてRPZが重要な理由