隠れオープンリゾルバ対策しましょう

中京大学工学部 / E-ONTAP.COM 鈴木常彦 (a.k.a 浸透いうな)
Nov 29, 2025 まっちゃ139勉強会
https://www.e-ontap.com/misc/matcha2025/

皆さんオープンリゾルバ対策はしてますよね?

しかし頭隠して尻隠さずかも

隠れオープンリゾルバになっているかもしれません、、、

隠れオープンリゾルバとは

リゾルバではアクセス制限 (許可外のクエリは REFUSED)
許可内の送信元 IP アドレスに偽装するとクエリを受け入れ
ログを監視できるドメイン名のクエリを撃ち込むことで検出可能
DNS水責め攻撃 (DDoS) の踏み台になりやすい
(実例が見つかっています)
問題なのはリゾルバではなくネットワーク (境界ルータ or F/W)
攻撃に晒されるのは DNS ばかりではない
(NTP,SNMP,SSDP,Memcached,LDAP,ICMP,...)
キャッシュポイズニングされやすい
(メールサーバのリゾルバに毒入れしてメール詐取も可能)
DNSリフレクション攻撃の踏み台としては限定的
(許可範囲内しか攻撃不能)

穴の開き方のパターン

リゾルバに隣接する IP アドレスに偽装すると受け入れ (わかる)
リゾルバと同一 IP アドレスに偽装すると受け入れ (わかる)
ルートサーバに偽装すると受け入れ (わからない)
ソースポート 53 だとどこからでも受け入れ (わからない / 間違った F/W テンプレの存在?)
REFUSED なのに名前解決は発動 / 偽装は不要 (某社アプライアンスと判明)

日本の隠れオープンリゾルバ対策の追跡調査

("隠れオープンリゾルバ" より)

'21/3/7 JP の調査対象のリゾルバ 2,462 IP アドレス中、
300 ドメイン 736 IP アドレス (30%) の隠れオープンリゾルバ発見 ...JPCERT/CCへ届出
追加発見分を加えた 774 IPアドレス (31%) を初期値として '21/4/24 から日毎の追跡調査を開始
Yevheniya Nosyk, Maciej Korczyński らの論文 (2023)によれば日本に 27,890 (世界5位)

あなたのネットワークありませんか?

隠れオープンリゾルバを放置している日本のドメイン
https://snoopy.e-ontap.com/vulnerables.html
日本ネットワークセキュリティ協会 (JNSA) 会員もたくさん
http://www.e-ontap.com/blog/?date=20220221

検査してみましょう

Hidden Open Resolver Tester: https://snoopy.e-ontap.com/

隠れオープンリゾルバ検査サイトの仕組み

謎の装置の振る舞い

謎の装置の正体

Palo Alto Networks 社の Prisma SASE (Prisma Access) の Advanced DNS Security

日本法人からの回答の要約

隠れオープンリゾルバに見えるのは確か
利用者に Google Public DNSの利用規約の同意は求めていない
必要と思われる内容は下記サイトにて公開しており、それ以上の対応は現時点では検討していない
- Privacy: https://www.paloaltonetworks.com/legal-notices/trust-center/privacy
- Trust Center: https://www.paloaltonetworks.com/legal-notices/trust-center

Grok の見解: このドキュメント（Palo Alto NetworksのAdvanced DNS Security Privacy Datasheet）を読んでも、利用者のDNSクエリがGoogle Public DNS（8.8.8.8など）に流れる、またはルーティングされることを示唆する記述は一切見当たりません。

ChatGPT の見解 : Privacy Datasheet の説明範囲は “サービスの動作としてのデータ収集／処理／保存” に限られており、そこに「任意の第三者 DNS リゾルバ（たとえば Google）」へ転送する、という記載はない

Google Public DNS 利用規約

Google Public DNS サービスとその API を使用すると、Google API 利用規約に従うことに同意したものとみなされます。

隠れオープンリゾルバ対策

サーバ (リゾルバ) でアクセス制限するだけでは不足
境界ルータ (F/W) の外側インターフェイスから内部アドレス(詐称)の流入を止める
```
deny all from 192.0.2.0/24 to any in via ${外側IF}
```
境界ルータ or F/W の内側インターフェイスから内部アドレス以外(詐称)の流出を止める (攻撃元にならないため / BCP 38 : Ingress Filtering)
```
deny all from not 192.0.2.0/24 to any in via ${内側IF}
```

IP TTL によるブロック (サーバ管理者の自衛策)

deny ip from 192.0.2.0/24 to me not ipttl 64,128,255

ブロック実例 (攻撃は来ている!)

Jul 15 05:04:25 ipfw: 53
  Deny UDP *.*.171.173:12345 *.*.171.172:53 in via vtnet0

(例は FreeBSD の ipfw)

参考リンク・文献

隠れオープンリゾルバ
http://www.e-ontap.com/dns/hidden-openresolver/
浸透しない隠れオープンリゾルバ対策 (解説スライド @ NGK2022S Lightning Talk)
http://www.e-ontap.com/misc/axies2023/
減らない脆弱性 -隠れオープンリゾルバ- (経営情報学会 2022 秋季全国大会)
http://www.e-ontap.com/misc/axies2023/
隠れオープンリゾルバのスキャナー開発と調査～進まない脆弱性対策～ (電子情報通信学会 2023 NS研)
http://www.e-ontap.com/misc/ieice2023oki/
AC.JP における隠れオープンリゾルバの対策状況 2023 (AXIES 2023年度年次大会)
http://www.e-ontap.com/misc/axies2023/

以上です

懇親会等で意見、議論を頂きたいと思います

... 私の DNS 関連資料はこちらをどうぞ。インターネット崩壊論もよろしく。