DNSフィルタリングはなぜ重要なのか？

DNSフィルタリングが重要なのは、ほぼすべての接続がルックアップから始まるため、リゾルバーがネットワーク上のすべてのデバイスに対してポリシーを適用できるからです。これにより、セキュリティエージェントを実行できないデバイスを含め、フィッシング、マルウェア、コマンドアンドコントロールドメインを早期に阻止することができます。

DNSフィルタリングサービスとはどのようなものですか？

DNSフィルタリングサービスは、組織に代わってフィルタリングリゾルバを運用し、クエリに対してカテゴリルール、ブロックリスト、脅威フィードを適用します。管理者は、リゾルバインフラを自ら運用する代わりに、通常は管理コンソールを通じてポリシーを設定し、ログを確認します。

DNSフィルタリングでは何をブロックできないのか？

DNSフィルタリングでは、IPアドレスへの直接接続など、名前解決を使用しないトラフィックをブロックすることはできません。また、ページの内容を検査することもできないため、特定のURLではなく、ドメイン全体をブロックすることになります。

DNSフィルタリングのメリットは何ですか？

主な利点は、一元的なポリシーの適用、既知の悪意のあるドメインの早期ブロック、および不審な活動を明らかにするクエリログです。リゾルバレベルで機能するため、ソフトウェアをインストールすることなく、管理対象外のデバイスやIoTデバイスもカバーできます。

用語集
DNSフィルタリングとは？

DNS用語集

DNSフィルタリングとは？

DNSフィルタリングとは、管理者のポリシーや脅威インテリジェンスに基づいて、ドメイン名クエリを許可、ブロック、またはリダイレクトするセキュリティ対策です。これはリゾルバレベルで動作し、応答を返す前に要求された名前を評価するため、トラフィックが送信される前に、デバイスが禁止されたサイトへの接続を阻止されます。

DDIをシンプルにしましょう

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

主なポイント

DNSフィルタリングは、管理者のポリシーや脅威インテリジェンスに基づいて、リゾルバでのドメイン名クエリを許可、ブロック、またはリダイレクトするセキュリティ制御であり、禁止された接続が発生する前に阻止します。ほぼすべてのネットワーク接続はDNSルックアップから始まるため、リゾルバーは、個々のエンドポイントにセキュリティエージェントをインストールすることなく、管理対象外デバイス、ゲストデバイス、IoT機器を含むすべてのデバイスに対して一元的にポリシーを適用するための理想的な適用ポイントとなります。 DNSフィルタリングは、攻撃チェーンの初期段階でフィッシングサイト、マルウェアホスト、コマンド＆コントロールドメインを効果的にブロックし、不審な活動を特定するためのクエリログを提供しますが、その有効性は適切な管理にかかっています。古くなったブロックリスト、過度に広範なカテゴリ、暗号化DNSのような監視されていないバイパス経路、および直接的なIP接続は、誤検知、可視性の欠如、および適用の一貫性の欠如を引き起こし、保護機能を損なう可能性があります。

DNSフィルタリングは、アプリケーション層（OSIレイヤー7）で動作し、リゾルバーが応答を返すか、NXDOMAIN応答、シンクホールアドレス、ブロックページなどのアクションを適用する前に、ドメイン名クエリを許可リスト、ブロックリスト、カテゴリルール、および脅威インテリジェンスフィードに対して評価します。
クライアントは、ハードコードされたIPアドレスに直接接続したり、外部のリゾルバーを使用したり、暗号化されたDNSプロトコルを採用したりすることで、DNSフィルタリングを迂回することが可能です。ネットワークがこれらの代替経路を制限しない限り、カバー範囲に抜けが生じることになります。
フィルタリングリゾルバーからのログを照会することで、どのデバイスがブロックされたドメインにアクセスしようとしたかが判明するため、セキュリティチームは各エンドポイントにセキュリティエージェントをインストールすることなく、感染したホストを特定し、対処することができます。

DNSフィルタリングの概要

Attribute	Value
Category	Security control
Protocol and port	Applies to DNS traffic, which uses port 53 over UDP and TCP
OSI layer	Application layer (layer 7)
Primary use	Blocking access to malicious, unwanted or policy-restricted domains at name resolution
Related terms	DNS firewall, response policy zone, recursive resolver, DNS security, threat intelligence, DNS sinkhole

DNSフィルタリングの仕組み

DNSフィルタリングでは、クライアントがリゾルバーにドメイン名をIPアドレスに変換するよう要求する時点で、ポリシーに基づく判断が行われます。リゾルバーは、応答する前にその名前を自身のルールと照合します。

クライアントによるクエリの送信：ユーザーがWebページを開いたり、アプリケーションが起動したりした際など、デバイスが設定済みの再帰的リゾルバーに対してドメイン名のアドレスを問い合わせます。
リゾルバーによるポリシーチェック：フィルタリング機能を備えたリゾルバーは、クエリされたホスト名を、許可リスト、ブロックリスト、カテゴリルール、および脅威インテリジェンスフィードと照合します。ポリシーは、ユーザー、デバイスグループ、またはネットワークセグメントごとに異なる場合があります。
リゾルバーはアクションを適用します。名前が許可されている場合、リゾルバーは通常通り解決を行います。ブロックされている場合、リゾルバーはNXDOMAINなどのエラー、空の応答、またはブロックページやシンクホールのアドレスを返します。
クライアントは結果を受け取ります。デバイスは実際の宛先に接続するか、あるいは接続が阻止されます。通常、リゾルバーは確認のためにクエリと実行されたアクションをログに記録します。

フィルタリングの対象となるのは、フィルタリング機能付きリゾルバを使用するトラフィックのみです。IPアドレスに直接接続するクライアントや、暗号化DNSを含め外部のリゾルバにクエリを送信するクライアントは、ネットワークがそれらの経路を制限していない限り、フィルタリングを迂回することができます。また、フィルタリングではページの内容ではなく、名前のみが判定の対象となります。

企業ネットワークにおいてDNSフィルタリングが重要な理由

ほぼすべての接続はDNSルックアップから始まるため、リゾルバーは、管理対象のノートPC、ゲストデバイス、セキュリティエージェントを実行できないIoT機器など、ネットワーク上のあらゆるデバイスに対してポリシーを適用する実用的な場所となります。1つのポリシー変更だけで、各エンドポイントに個別に手を加えることなく、数千ものエンドポイントに効果を及ぼすことができます。

解決時のブロックにより、多くの脅威を早期に阻止できます。フィッシングサイト、マルウェアのダウンロード元、コマンド＆コントロールドメインはすべて名前解決に依存しているため、解決を拒否することで、ペイロードが配信される前に攻撃を遮断できます。また、クエリログからは、ブロックされた名前を照会したデバイスが判明するため、チームは感染したホストを特定しやすくなります。

フィルタリングの管理が不十分だと、それ自体が問題を引き起こします。古くなったブロックリストや過度に広範なカテゴリは、正当なビジネスサービスをブロックしてしまう誤検知（偽陽性）を発生させ、チームはこれに対処するために制御機能を無効にしてしまう可能性があります。外部リゾルバを使用するデバイスなど、監視されていないバイパス経路は、カバー範囲が十分であるという誤った安心感を与えつつ、実際にはセキュリティの隙間を残してしまいます。 RFC 8499では、これらのリゾルバーの役割を記述するために使用されるDNS用語が定義されており、ポリシー、例外、およびログ記録に関する責任の所在を明確にすることで、フィルタリングの効果と信頼性を維持することができます。

DNSフィルタリングと関連用語の比較

DNSフィルタリングとProtective DNSの比較

DNSフィルタリングとは、リゾルバレベルでドメイン名の許可またはブロックを行う一般的な手法であるのに対し、プロテクティブDNSとは、通常は組織や政府向けに、名前解決の過程でフィルタリングや脅威インテリジェンスを適用するセキュリティサービスモデルである。プロテクティブDNSとは何か？

Attribute	DNS filtering	Protective DNS
Scope	A control that can enforce security, content or acceptable-use policy	A security-focused service built around blocking malicious domains
Policy basis	Administrator rules, categories and optional threat feeds	Primarily threat intelligence about malicious domains
Typical use	Web content control and threat blocking	Reducing exposure to malware, phishing and command-and-control traffic

DNSフィルタリングとレスポンスポリシーゾーン（RPZ）の比較

DNSフィルタリングは、どの名前を解決するかを制御することを目的としていますが、レスポンスポリシーゾーン（RPZ）は、再帰的リゾルバーがそのポリシーを適用するために利用できるメカニズムの一つです。RPZとは何ですか？

Attribute	DNS filtering	Response Policy Zone (RPZ)
Type	Security control or capability	Policy mechanism implemented in resolver software
Where policy lives	Resolver, cloud service or appliance, in a product-specific form	A zone file containing policy rules, which can be shared between resolvers
Relationship	Can be built using several methods	One method of building DNS filtering

DNSフィルタリングにおける一般的な問題

ハードコードされたパブリックリゾルバーが設定されているデバイスや、DNS over HTTPS を使用するブラウザは、フィルタリングリゾルバーを完全にバイパスします。その結果、これらのクライアントではブロックされたサイトが通常通り読み込まれ、クエリログにも何も記録されません。

大まかなカテゴリルールや古いブロックリストにより、正当なサイト、コンテンツ配信ドメイン、またはソフトウェア更新用ホストがブロックされてしまうことがあります。ユーザーからは、アプリケーションが動作しない、あるいはページが部分的にしか読み込まれないといった報告が寄せられますが、その原因は、クエリログを検索してブロックされた名前を特定することで初めて判明します。

クエリが中間フォワーダーやNATデバイスを経由する場合、フィルタリングを行うリゾルバーにはそのデバイスのアドレスのみが表示されます。ユーザーやグループごとのポリシーを適用することはできず、ログから発信元のホストを特定することもできません。

クライアントおよび下流のリゾルバーは、レコードの有効期間（TTL）が切れるまで応答を保持します。新たに追加されたブロックは、すでにキャッシュされている名前に対しては適用が遅れることがあり、テスト中は適用に一貫性がないように見える場合があります。

ハードコードされたIPアドレスに接続するマルウェアは、決してルックアップを行わないため、DNSフィルタリングでは検出されません。リゾルバーのみに依存しているチームは、ファイアウォールやその他の制御手段でこのトラフィックをカバーしていない限り、このトラフィックを見逃してしまいます。

統合型DDIがネットワーク運用をいかに簡素化するかをぜひご覧ください

自動化、可視化、制御機能が組み込まれた単一のプラットフォームから、DNS、DHCP、IPアドレスを管理できます。

お問い合わせ

インテリジェント・ネットワーク

DNSフィルタリングとは？

DDIの簡素化を始めませんか？

DNSフィルタリングの概要

DNSフィルタリングの仕組み

企業ネットワークにおいてDNSフィルタリングが重要な理由

DNSフィルタリングと関連用語の比較

DNSフィルタリングとProtective DNSの比較

DNSフィルタリングとレスポンスポリシーゾーン（RPZ）の比較

DNSフィルタリングにおける一般的な問題

統合型DDIがネットワーク運用をいかに簡素化するかをぜひご覧ください

DNSフィルタリングに関するよくある質問

関連用語

組織のネットワーク向けに、ガバナンスが確立され、監査対応可能なIPAMワークフローおよび承認モデルを構築する

OSIモデルの理解：7層構造におけるDNSとIPアドレスの位置づけ

IPv6 およびデュアルスタック企業ネットワーク向けの DNS および IPAM のスケーリング

Embedding DNS, DHCP, and IPAM into Ansible and Git-based infrastructure-as-code pipelines

ポッドキャスト：AIがエンタープライズソフトウェア開発をどう変えているか

ポッドキャスト：ネットワーク運用においてオープンプラットフォームが重要な理由

LiveAssistを活用して、すでに保有しているLiveNXのデータから答えを引き出しましょう

LiveWire GEN3 デバイス製品ラインナップ

関連記事