サーバセキュリティ（DNS）

攻撃

DNSキャッシュポイズニング攻撃

DNSキャッシュサーバのキャッシュの有効期限切れした間で攻撃する仕組み。 （キャッシュサーバの再帰問い合わせに対して、正規の権威サーバよりも前に応答を返し、DNSサーバに偽のキャッシュ情報を登録させることで攻撃が成立する。しかし、DNSの使用上、DNSクエリに対して有効期限内のキャッシュが存在すればキャッシュサーバはそれを優先的に使用するため、再帰問い合わせが行われるのはキャッシュの有効期限が切れる数十分から数時間に一回。）

カミンスキー攻撃

DNSキャッシュポイズニング攻撃の１つ。 キャッシュに存在しないサブドメインへのDNSクエリ発行を利用して、攻撃を従来より効率よく成立させる手法。

DNSキャッシュポイズニング攻撃では、キャッシュサーバのキャッシュ有効期限が切れている間を狙う攻撃。キャッシュが切れるタイミングが、数十分〜数時間に１回で効率的な攻撃ではない。 カミンスキー攻撃では、キャッシュに存在しないサブドメイン（a.test.com, b.test.com）のDNSクエリを利用することで、キャッシュサーバに再帰問い合わせの実行を強制する。 攻撃を効率的に行える。

DNSクエリのポートは使用上、UDP/53に規定されているが、ポート番号が53固定だと攻撃がされやすい。なので、ランダムに選択したポート番号を通信に使用するソースポートランダマイゼーションやDNSSECの導入が有効な対策となる。