DNSフィルタリングとは？| セキュアなDNSサーバー

記事の概要：

• DNSフィルタリングは、悪性Webサイトや不適切なコンテンツをリゾルバーのレベルでブロックし、ユーザーデバイスで有害データが読み込まれないようにする能動的なセキュリティ層です。
• ブロックリストと許可リストを使ってネットワークアクセスを管理し、既知の不審なIPアドレスやドメイン名への接続を阻止することで、フィッシング攻撃やマルウェア感染を効果的に防げます。
• セキュアなDNSサーバーを統合することで、DoHやDoTなどの暗号化プロトコルを通じてデータ保護を強化できます。これにより、企業ネットワークのトラフィックとセキュリティを厳格に管理しながら、プライベートブラウジングが可能になります。

DNSフィルタリングとは？

DNSフィルタリングは、悪意のあるWebサイトをブロックして、有害または不適切なコンテンツをフィルター処理するために、Domain Name Systemを使用するプロセスです。これにより、企業は、企業のデータの安全性を確保して、従業員が会社の管理下にあるネットワーク上でアクセスできるものを制御できるようになります。DNSフィルタリングはより大きなアクセス制御戦略の一部であることが多いです。

Domain Name System（DNS）とは？

Domain Name System（DNS）は、ドメイン名（cloudflare.comなど）をIPアドレス（192.0.2.24など）と照合します。DNSは、ユーザーがややこしい数字の羅列を記憶することなくWebサイトにアクセスできるようにするのに必要です。ちょうど人が友人の個々の電話番号を記憶しないでスマートフォンに保存するのと同じです。

ユーザーがWebサイトを開いたりWebアプリケーションにアクセスしたりするたびに、コンテンツを読み込むプロセスは、ユーザーのデバイスが正しいIPアドレスを検索した後に始まります。次のようにIPアドレスを検出する手順を踏むことで、Webサイトを読み込むことができます：

1. ユーザーがドメイン名をブラウザーに入力すると、ユーザーのデバイスはDNSクエリを作成してDNSリゾルバーと呼ばれる特殊なWebサーバーに送信します。
2. DNSリゾルバーは、別のDNSサーバーにクエリを実行するか、またはそのキャッシュをチェックすることで、照会されたドメイン名をIPアドレスと照合します。
3. DNSリゾルバーは、ユーザーのデバイスへの応答で正しいIPアドレスを返します。このことを、ドメインの「名前解決」と呼びます。
4. ユーザーのデバイスは、接続を確立してコンテンツの読み込みを開始するために、そのIPアドレスのサーバーと交信します。

DNSは、Webコンテンツへのアクセスに不可欠な要素です。DNSプロセスが行われないとコンテンツを読み込むことはできません。こうした理由から、DNSフィルタリングは、ユーザーがアクセスできるコンテンツを制御する効果的な方法とされています。

DNSフィルタリングサービスの仕組み

すべてのDNSクエリはDNSリゾルバーに送信されます。特別に設定されたDNSリゾルバーは、ブロックリストで追跡された特定のドメインに対するクエリの解決を拒否して、ユーザーがそうしたドメインにアクセスするのを阻止することで、フィルターとしての役割も果たします。DNSフィルタリングサービスは、ブロックリストの代わりに許可リストを使用することもできます（以下を参照）。

フィッシングメールを受け取った従業員が、だまされてmalicious-website.comに移動するリンクをクリックしてしまったとしましょう。従業員のコンピューターは、Webサイトを読み込む前に、DNSフィルタリングを使用して会社のDNS解決サービスにクエリを送信します。その悪意のあるサイトが会社のブロックリストに掲載されている場合、DNSリゾルバーはリクエストをブロックして、malicious-website.comが読み込まれるのを防止することでフィッシング攻撃を阻止します。

DNSフィルタリングは、ドメイン名またはIPアドレスのいずれかでWebプロパティをブロックリストに追加できます：

ドメインごと：DNSリゾルバーは、特定のドメインを含むIPアドレスの解決または検索はすべて行いません。

IPアドレスごと：DNSリゾルバーはすべてのドメインを解決することを試みますが、IPアドレスがブロックリストにある場合、リゾルバーは要求元のデバイスに送り返すことはありません。

ブロックリストとは？

DNSフィルタリングにおけるブロックリストとは、既知の有害なドメインまたはIPアドレスのリストのことです。DNSフィルタリングベンダーは、サイバーセキュリティコミュニティ内で共有されているブロックリストに依存する、独自のブラックリストを生成する、あるいはその両方を行う場合があります。一部のDNSフィルターは、Webページも評価して、ブロックリストに自動的に追加します。たとえば、悪意のあるJavaScriptコードがexample.com上で実行されているのが確認されると、example.comはブロックリストに追加されます。

DNSは、マルウェアやフィッシング攻撃に使用されているわけではなくても、禁止されているコンテンツや不適切なコンテンツをホストするドメインもブロックリストに追加する場合があります。たとえば、企業は成人向けコンテンツをホストするWebサイトをDNSフィルタリングブロックリストに追加することができます。

ブロックリストと逆の概念にあたるのが、許可されたドメインやIPアドレスのリストである許可リストです。許可リストに掲載されていないすべてのドメインまたはIPアドレスがブロックされます。

DNSフィルタリングはマルウェアやフィッシング攻撃をブロックするのにどのように役立つか？

DNSフィルタリングは、悪意のあるソフトウェアであるマルウェアが会社のネットワークやユーザーデバイスに侵入するのを防止するのに役立ちます。また、いくつかの種類のフィッシング攻撃をブロックするのにも役立ちます。

1. 悪意のあるWebサイトをブロックする

マルウェアをホストするWebサイトは、ユーザーをだまして悪意のあるプログラムをダウンロードさせるようにするか、またはドライブバイダウンロードという攻撃（Webページの読み込み時に悪意のあるソフトウェアを自動的にダウンロードさせる行為）を仕掛けます。ほかの多くの攻撃も可能です。たとえば、WebページはJavaScriptコードを実行しますが、完全なプログラミング言語であるJavaScriptは、さまざまな方法でユーザーデバイスを侵害するのに使用できます。

DNSフィルタリングは、ユーザーが悪意のあるWebページをまったく読み込まないようにすることで、この種の攻撃を防止することができます。

2. フィッシングサイトをブロックする

フィッシングサイトとは、フィッシング攻撃にてログイン認証情報を盗むために作成された偽サイトのことです。使用されるドメインは、模倣したドメインであったり、ほとんどのユーザーが疑いもしない本物そっくりなドメインであったりします。どのような方法であっても、攻撃者の目的はユーザーをだまして、認証情報を不正に入手することです。こうしたWebサイトは、DNSフィルタリングを使用してブロックすることができます。

こうした機能は、DNSフィルタリングシステムが悪意のあるIPアドレスやドメインを不良なものとして認識することを前提としています。DNSフィルタリングシステムは、こうした悪意のある行為を阻止できますが、攻撃者が新しいドメインを非常に素早く生成したら、すべてをブロックリストに追加することはできません。

DNSフィルタリングは禁止されているコンテンツをどのようにブロックするのか？

特定のコンテンツへのアクセスを制限するプロセスは、前述のプロセスと似ています。禁止されているコンテンツをホストしていることがわかっているIPアドレスやドメイン名はブロックリストに追加されているので、ユーザーはそれらにはアクセスできません。あるいは、会社が承認しているWebサイトを許可リストに追加して、DNSフィルタリングを使用してそれ以外のWebサイトすべてをブロックすることができます。

セキュアなDNSサーバーとは？

セキュアなDNSサーバーとは、DNSフィルタリングサービスの一環として、悪意のあるWebサイトや禁止されているWebサイトをブロックするDNSリゾルバーのことです。一部のセキュアなDNSサーバーはプライバシーを強化してユーザーデータを保護します。たとえば、Cloudflareは、24時間後にすべてのDNSクエリログを消去する1.1.1.1と呼ばれるDNS解決サービスを提供します。

DNSはセキュリティを考慮して設計されていないため、DNSフィルタリングに加えて、ほかにもDNSプロセスの安全性を高める方法があります。DNSSECプロトコルは、DNSリゾルバーが正確な情報を提供し、攻撃者によって侵害されていないことを確認するのに役立ちます。DNS over TLS（DoT）プロトコルとDNS over HTTPS（DoH）プロトコルは、攻撃者がユーザーのDNSクエリを尾行したり訪問するWebサイトを追跡したりできないようにDNSクエリやレスポンスを暗号化します。

DNSフィルタリングとWebフィルタリングの違い

Webフィルタリングは、Webトラフィックを管理する多くの方法を指す広義の用語です。DNSフィルタリングは、Webフィルタリングの一種です。ほかの種類のWebフィルタリングには、URLフィルタリング、キーワードフィルタリング、コンテンツフィルタリングなどがあります。

DNSフィルタリングのユースケース

DNSフィルタリングは、以下のようなさまざまなユースケースに適用できます：

• DNSフィルタリングを使ったAIセキュリティ
• DNSフィルタリングを使ったゲストWi-Fiのネットワークセキュリティ
• DNSフィルタリングを使ったIoTセキュリティ

CloudflareはほかのDNSサービスに加えてDNSフィルタリングを提供するか？

Cloudflareは、パブリックDNSリゾルバーである権威DNSサービス、およびインターネット上で従業員がアクセスするものを制限したい企業向けであるDNSフィルタリング機能を提供します。Cloudflare GatewayはDNSフィルタリングを含むセキュアWebゲートウェイであり、ブラウザの分離やほかの技術と一緒に、社内のユーザーを保護します。Cloudflare Gatewayの詳細またはセキュアWebゲートウェイの仕組みについては、こちらをご覧ください。

よくある質問

DNSフィルタリングとは？

DNSフィルタリングとは、特定のネットワーク内で悪意のあるサイトや不適切なWebサイトへのアクセスをブロックする仕組みです。DNSフィルタリングは、許可されていないドメインまたはIPアドレスへのDNSクエリをブロックすることで機能します。指定されたドメインを読み込めないようにすることで、企業のデータを安全に保ち、社員が会社のネットワークでアクセスできる内容を組織が管理できるようにします。

DNSフィルタリングサービスがWebサイトをブロックする仕組みは？

DNSフィルタリングは、特別に設定されたDNSリゾルバーを通じて機能します。ユーザーがサイトにアクセスしようとすると、リゾルバーが既知の有害なドメインまたはIPアドレスのブロックリストとリクエストを照合します。一致した場合、リゾルバーはIPアドレスの提供を拒否することで、ユーザーのデバイス側でのWebサイトの読み込みが停止します。

拒否（ブロック）リストと許可リストの違いは？

ブロック（拒否）リストには既知の有害または制限対象のドメインとIPアドレスが列挙されており、このリストに登録されているサイトへのアクセスはシステムによって自動的に阻止されます。許可リストはその逆で、承認されたWebサイトのリストで、リストにないサイトはDNSフィルタリングによってブロックされます。

DNSフィルタリングがフィッシング攻撃からユーザーを守る仕組みは？

フィッシング攻撃では、ユーザーを騙してリンクをクリックさせて偽のWebサイトへ誘導して資格情報を盗み出します。DNSフィルタリングは、このような偽サイトや悪意のあるドメインを検知し、ページが表示される前にアクセスをブロックするため、ユーザーが誤ってリンクをクリックしてしまった場合でも被害を防ぐことができます。

DNSフィルタリングでマルウェア感染を防ぐことができますか？

DNSフィルタリングは、悪意のあるソフトウェアをホストしたり、マルウェアを配布しているサイトや自動ダウンロードを行う危険なサイトへの接続をブロックすることで、一部のマルウェア感染を防ぐことができます。WebページはDNSの処理が完了するまで読み込まれないため、DNSの段階で止めることで、ユーザーのデバイスと悪意のあるサーバー間の通信を最も早い段階で阻止します。

セキュアなDNSサーバーとは？

セキュアDNSサーバーは、危険または禁止されているコンテンツをブロックするためのフィルタリング機能を統合したリゾルバーです。さらに、一部のセキュアなDNSサーバーは、DNSSECなどのプロトコルを使用してデータの正確性を確認したり、DNS over TLSやDNS over HTTPSなどのプロトコルを使用してクエリを暗号化することで、セキュリティやプライバシーを強化して、第三者がユーザーの閲覧アクティビティを追跡できないようにします。

DNSフィルタリングとWebフィルタリングの関係は？

Webフィルタリングとは、インターネット上のトラフィックを制御するためのさまざまな方法の総称です。DNSフィルタリングはWebフィルタリングの一種で、DNSレベルの制御を提供します。その他のフィルタリングの種類には、URLフィルタリング、キーワードフィルタリング、コンテンツフィルタリングなどがあります。