DNS増幅攻撃（でぃーえんえすぞうふこくげき）
最終更新：2026/4/28
DNS増幅攻撃は、DNSサーバーに偽造された要求を大量に送信し、その応答を被害者に向け、ネットワークを過負荷状態にする攻撃手法である。
別名・同義語 DDoS攻撃DNSフラッド
ポイント
この攻撃は、DNSサーバーを悪用してトラフィックを増幅させるため、比較的少ない攻撃元で大規模なDDoS攻撃を仕掛けることが可能である。脆弱なDNSサーバーが標的となりやすい。
DNS増幅攻撃とは
DNS増幅攻撃は、分散型サービス拒否（DDoS）攻撃の一種であり、攻撃者がDNS（Domain Name System）サーバーを悪用して、被害者のネットワークを過負荷状態にする手法です。攻撃者は、被害者のIPアドレスを偽装して、世界中の公開されているDNSサーバーに大量のDNSクエリを送信します。DNSサーバーは、通常、要求されたドメイン名のIPアドレスを応答として返信しますが、この応答のサイズは、要求よりもはるかに大きくなる場合があります。攻撃者は、この応答を被害者のIPアドレスに大量に送信することで、被害者のネットワーク帯域を飽和させ、サービスを停止させます。
攻撃の仕組み
- 偽装: 攻撃者は、被害者のIPアドレスを送信元アドレスとして偽装したDNSクエリを作成します。
- 大量送信: 偽装されたDNSクエリを、世界中の公開されているDNSサーバーに大量に送信します。
- 応答増幅: DNSサーバーは、要求されたドメイン名のIPアドレスを含む応答を、偽装された送信元アドレス（被害者のIPアドレス）に送信します。
- DDoS攻撃: 被害者は、大量のDNS応答を受信し、ネットワーク帯域が飽和し、サービスが停止します。
対策
DNS増幅攻撃に対する対策としては、以下のようなものが挙げられます。
- DNSサーバーのセキュリティ強化: DNSサーバーのアクセス制御を強化し、不正なクエリを拒否する。
- 応答サイズの制限: DNSサーバーからの応答サイズを制限し、増幅効果を抑制する。
- レート制限: DNSサーバーへのクエリのレートを制限し、大量のクエリを抑制する。
- DDoS防御サービス: DDoS防御サービスを利用し、悪意のあるトラフィックをフィルタリングする。
- Anycast DNS: Anycast DNSを利用し、攻撃トラフィックを分散させる。
歴史
DNS増幅攻撃は、2007年頃から報告され始め、その後、大規模なDDoS攻撃の手段として広く利用されるようになりました。近年では、IoTデバイスの増加に伴い、脆弱なDNSサーバーの数が増加し、DNS増幅攻撃のリスクが高まっています。