ドメインセキュリティとは?
インターネット上でプレゼンスを構築するために不可欠なものとしてドメインが上げられます。
ドメインは一意であり他のウェブサイトやオンラインプレゼンスと区別できます。独自のドメインを持つことで、オンライン上でのアイデンティティが確立し、信頼性を構築します。それゆえ、サイバーセキュリティにおいてドメインに関してもセキュリティの重要性も増しています。
本記事では、ドメインのセキュリティ対策についてその必要性を詳しく説明します。
ドメインネームシステム（DNS）とは
インターネットの裏側で動く、情報の行き来を支える重要な仕組み、それがドメインネームシステム（DNS）です。本記事では、安全なオンライン環境を築く上で欠かせないドメインセキュリティにフォーカスしますが、その前にDNS自体の主な役割を理解しておきましょう。
DNSの主な役割
１．名前解決
DNSは、ユーザーが入力したドメイン名を対応するIPアドレスに解決する役割があります。これにより、ユーザーは分かりやすいドメイン名を使用してウェブサイトやリソースにアクセスできます。
２．階層的な構造
DNSは階層的な構造を持っており、トップレベルドメイン（TLD）やサブドメインなどが含まれます。この構造によって、ドメイン名の一意性が確保され、インターネット上での名前解決が効率的に行われます。
３．分散型のデータベース
DNSは分散型のデータベースであり、膨大な数のドメイン名とそれに対応するIPアドレスの情報を保持しています。このデータはさまざまなDNSサーバーに分散されており、障害が発生してもシステム全体が継続して動作するようになっています。
４．メールルーティング
DNSはメールの送信先を特定するためにも使用されます。メールの送信元や送信先のメールサーバーのIPアドレスを解決し、正確なメールのルーティングを可能にします。
５．サービスの発見
DNSは特定のサービスやリソースの場所を見つけるためにも使用されます。例えば、特定のサービスが提供されているサーバーのIPアドレスを取得する際にDNSが活用されます。
DNSについては、「DNSとは何？設定や名前解決などの用語を初心者に分かりやすく解説」で詳しく解説しています。
https://www.value-domain.com/media/dns/ドメインネームシステム（DNS）が受けるセキュリティへの影響
ドメインネームシステム（DNS）はインターネット上での通信を支える非常に重要な基盤であり、セキュリティの脆弱性が悪用されると様々なリスクが生じます。
技術的な側面に起因する影響
１．DNSドメインハイジャック
攻撃者がドメイン名の登録情報を不正に変更し、正当な所有者の制御から外れることがあります。これにより、サイトのコンテンツが改ざんされたり、攻撃者の制御下に置かれたりする可能性があります。
２．ドメインシャドウイング
攻撃者が、ネームサーバーではなくドメインのゾーンファイルを改ざんする手口です。ウェブサイトそのものは変更せず、ゾーンファイルにサブドメインを付け加え、フィッシング攻撃に悪用されます。
２．DNSキャッシュポイズニング
攻撃者がDNSキャッシュを改ざんして、偽のIPアドレスをクライアントに提供することがあります。これにより、ユーザーが意図しない場所に誘導される可能性があります。
３．DDoS攻撃
DNSサーバー自体が大量のリクエストに対応できなくなるような分散型サービス妨害（DDoS）攻撃が行われることがあります。
４．DNS応答の傍受と改竄
中間者攻撃やMan-in-the-Middle（MitM）攻撃により、DNSの応答が傍受され、改ざんされる可能性があります。これにより、ユーザーが本来のサーバーではなく、攻撃者のコントロール下にあるサーバーにアクセスする可能性があります。
５．DNSスプーフィング
攻撃者がDNS応答を偽装し、ユーザーを誤ったサイトに誘導する攻撃が行われることがあります。
６．情報漏洩
DNSトラフィックが暗号化されていない場合、攻撃者はDNS経由での通信を傍受し、ユーザーや組織の機密情報を入手する可能性があります。
ソーシャルエンジニアリングと呼ばれる手法による影響
ソーシャルエンジニアリング(社会工学）は、人々の心理や信じ込ませる能力を悪用して、情報を取得したり、不正なアクセスを試みる手法です。
１．ビジネスメール詐欺
攻撃者がビジネスの電子メールを悪用して企業や個人を欺く手法です。ビジネスメール詐欺からの保護には、正確で信頼性の高いメール認証技術と、社内でのセキュリティポリシーの遵守が重要です。
２．フィッシング攻撃
フィッシング攻撃は、通常はメールやウェブサイトなどを通じて、被害者になりすまして個人情報や認証情報を詐取しようとする手法です。
３．ドメインスポフィング
紛らわしい文字列で悪質なサイトに誘導するドメインのなりすましです。あいまい一致、類似ドメイン、キーワード一致、同音異義語などです。攻撃者が被害者に対して信頼性のあるように見せかけるために、正規のドメインと似せた偽のドメインを作成する手法です。例えば "examp1e.com" のように、本物のサイト（例: "example.com"）と似たようなドメインを使用することで、被害者を欺きます。これにより、被害者は本物のサイトと誤認してしまう可能性があります。ドメインスポフィングの目的は、被害者から情報を抜き取ることや、偽のウェブサイトを通じて悪意のあるソフトウェアを配信することがあります。
対策としては、セキュリティ教育とトレーニング、メール認証技術の導入、二要素認証の利用などが挙げられます。
人的な要因に起因する影響
１．パスワードリサイクル
弱いパスワードの使用やパスワードの再利用が行われると、攻撃者はこれを悪用してDNSセキュリティに関わるサービスへの不正アクセスを試みることができます。
２．不注意なユーザー行動
組織内での適切なセキュリティポリシーの無視や、セキュリティに対する正しい教育とトレーニングが不足している場合、セキュリティ対策が十分に行われない可能性があります。
ドメインセキュリティの基本
ドメインセキュリティとは何か？
ドメインセキュリティ（Domain Security）は、ウェブサイトやオンラインアプリケーションのドメインに関連するセキュリティ対策全般を指します。これは、ユーザーデータやオンラインプレゼンスを守り、不正アクセスや悪意のある攻撃から保護するための取り組みです。
ドメインセキュリティに関連する主要な項目
１．SSL/TLS証明書
一般にSSL証明書と言われる証明書を使用することで、ウェブサイトとユーザー間の通信が暗号化され、データの盗聴や改ざんから保護されます。これにより、ユーザーが安心してサイトを利用できるようになります。
SSL証明書については、下記で詳しく紹介しています。
https://www.value-domain.com/media/ssl-certificates/２．DNSセキュリティ拡張（DNSSEC）
DNSセキュリティ拡張は、DNS（Domain Name System）におけるセキュリティを向上させるための仕組みです。ドメイン名がリダイレクトされる宛先URLを確認するためのデジタル署名を提供します。
DNSSECレコードをドメイン名に追加して、ドメイン名をホストするDNSサーバーを認証できます。これにより、DNSの偽装やキャッシュポイズニングといった攻撃から保護されます。
３．DMARC、SPF、DKIM
これらは、不正なメール送信を防ぐための技術です。DMARC（Domain-based Message Authentication, Reporting, and Conformance）、SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）は、ドメインの認証やメールの信頼性向上に寄与します。
４．WHOISプライバシー
ドメインに関するWHOIS情報（ドメインの登録者情報など）は一般に公開されていますが、WHOISプライバシーサービスを使用することで、個人情報を保護し、スパムや不正利用から守ることができます。
５．商標及びブランド保護
関連する商標やブランドのドメイン名を確保し、競合他社や悪意ある第三者によるドメインハイジャックを防ぎます。商標やブランドをクローズした時にドメインを保持できない場合は、そのドメインの価値を下げて悪意のある者の利用の意欲を削ぐようにします。
具体的には、ホームページ上のリンクの削除や301リダイレクトを１年以上継続すれば、SEO上の価値が低下します。
６．二要素認証（2FA）
DNS設定の不正変更を防ぐために、ドメインのDNS設定を管理するためのシステムにおいてセキュリティ強化のために二要素認証が導入されます。これにより、パスワードだけでなく追加の認証ステップが必要となり、セキュリティが向上します。
７．定期的なセキュリティアップデート
使用しているCMSや関連するソフトウェアのセキュリティパッチを定期的に適用し、既知の脆弱性からの保護を確保します。
８．セキュリティ教育とトレーニング
スタッフや関係者に対してセキュリティに関するトレーニングを提供し、ソーシャルエンジニアリングやフィッシング攻撃からの防御を強化します。
Valueドメインでは【 セキュリティ機能強化 】「Value Domain ネットde診断 byGMO」
https://www.value-domain.com/security/net-de-shindan/
がリリースされました。
このサービスは、10秒でウェブサイトやサーバーのセキュリティ状況を診断し、最新のサイバー攻撃情報に基づいた健康診断ツールです。Valueドメインでドメインを取得している方は是非利用してみましょう。
ドメインセキュリティの１０ベストプラクティス
前章でドメインのセキュリティに関連する主要な項目を列挙しましたが、ドメインの管理面において重要な事項として、ドメインの正確な登録情報や有効期限の管理も重要です。セキュリティ面では定期的なドメインの監視、および信頼性の高いドメインレジストラやリセラーの選択が必要です。
更に、継続的なモニタリングと最新のセキュリティプロトコルの適用により、ドメインの管理とセキュリティを確保できます。
- 強固なパスワードとアカウント管理
- DNSセキュリティの強化
- 信頼性の高いドメインレジストラの選択
- WHOIS情報の正確な管理
- SSL/TLS証明書の使用
- 定期的なドメインの監視
- セキュリティアップデートの適用
- セキュリティトレーニングと教育
- 脆弱性スキャンとペネトレーションテスト
- 災害復旧計画の策定
強固なパスワードとアカウント管理
複雑で一意なパスワードの使用、定期的なパスワードの変更、そして二段階認証（2FA）などのセキュリティ手段を組み合わせて、オンラインアカウントの安全性を確保し、悪意あるアクセスから保護する重要な行いです。
DNSセキュリティの強化
１．DNSSEC（DNS Security Extensions）の有効化
DNSSECを使用して、DNSデータの完全性を保ち、DNS攻撃から守ります。
尚、注意事項としてGoogleDomainsからDNSSECを適用したまま新しいドメイン管理会社が提供するDNSサーバーへの切り替えを行った場合に、名前解決停止が発生します。DNSSECの署名情報検証というセキュリティ仕様が逆に災いしてドメイン管理者の設定であったとしても、名前解決の失敗が発生していまします。詳しくは「Google Domains終了へ！移管の際はご注意ください」を参照してください。
２．DMARC、SPF、DKIM
不正なメール送信を防ぐためのものです。ドメインの認証やメールの信頼性向上に寄与します。最近では最低でもSPFレコードが設定されていないとメールが正規のサーバー（＝そのドメインからの送信が許可されているサーバー）と認識されず拒否されることが多くなってきています。
SPF、DKIMの設定方法は下記にて紹介しています。併せてご覧ください。
https://www.value-domain.com/media/spf-record/
https://www.value-domain.com/media/dkim/ドメインレジストラの信頼性確認
信頼性の高いドメインレジストラの選択が必要です。
私はGMOのお名前.com、GMOグループのバリュードメイン、Gandiの３つからそれぞれドメインを取得しています。GMOのお名前.comはICANN公認レジストラで、バリュードメインはGMOグループの一員でレジストラです。海外のGandiはフランス創業のレジストラでICANN公認のレジストラです。
基本的にICANN公認、あるいはICANN公認レジストラの同グループのレジストラを選択すれば良いでしょう。ICANN公認リストは以下でわかります。
https://www.icann.org/en/accredited-registrars
WHOIS情報の正確な管理
１．ドメインの登録情報
正確な維持と更新通知を受けるための有効な連絡先情報が必要です。
ドメイン移管時にWHOIS情報が更新されることがあります。正確な情報の提供はセキュリティ上重要であり、情報が不正確な場合に悪意のある行為によって悪用される可能性があるので注意が必要です。
２．プライバシー保護
WHOISプライバシーサービスを使用することで、個人情報を保護し、スパムや不正利用から守ることができます。
ValueドメインではWHOIS情報公開代行サービスが無料で利用できます。
https://www.value-domain.com/userguide/manual/whoisproxy_on
SSL/TLS証明書の使用
ウェブサイトへのアクセスを暗号化するためにSSL/TLSを使用します。定期的な証明書の更新と管理が必要です。
SSL（Secure Sockets Layer）は、以前はセキュアな通信を提供するためのプロトコルとして使用されていましたが、脆弱性が見つかり、後継としてTLS（Transport Layer Security）が開発され、現在は主にTLSが使用されています。通常はTLS証明書が使用されます。
定期的なドメインの監視
ドメインの有効期限、WHOIS情報、SSL証明書などを定期的に監視し、異常が検知された場合は対策を講じます。
セキュリティアップデートの適用
DNSサーバのソフトウェアの脆弱性対応でセキュリティアップデートは非常に重要です。また、ウェブサイトやアプリケーションで使用されているプラットフォームやソフトウェア、フレームワークのセキュリティパッチやアップデートを定期的に適用することも、セキュリティを維持するために重要です。使用しているCMSや関連するソフトウェアのセキュリティパッチを定期的に適用し、既知の脆弱性からの保護を確保します。
セキュリティトレーニングと教育
組織のセキュリティポリシーや手順に関するトレーニングを提供し、従業員がこれらを理解し、遵守できるようにすることは大変重要です。例えば、フィッシングメールの特徴や一般的な手法について教育する。ソーシャルエンジニアリング攻撃の例を挙げ、従業員が不審な要求に慎重に対処する方法をトレーニングする。フィッシングメールやソーシャルエンジニアリング攻撃に対するシミュレーション演習を行い、従業員の対応力を向上させる。ドメインセキュリティに焦点を当てたセキュリティ意識向上プログラムを定期的に実施する。
１．フィッシング攻撃対策のトレーニング
従業員に対して、フィッシングメールの特徴や悪意のあるリンクを見分ける訓練を行います。
フィッシングメールの模擬やシミュレーションを使用して、リアルな状況に近い状況でのトレーニングを提供します。
２．パスワードセキュリティトレーニング
強力なパスワードの作成方法、パスワードの定期的な変更、パスワード管理ツールの活用方法を教育します。
パスワードポリシーに基づいたワークショップや実践的なセッションを通じて、正しいパスワードの管理方法を実践的に学ばせます。
３．二段階認証の使用トレーニング
二段階認証の設定方法、セキュアな認証アプリケーションの選択、SMS認証のリスクなどを説明します。
実際のアカウントで二段階認証を設定し、その有効性を理解するための実践的なセッションを提供します。
４．ソーシャルエンジニアリング攻撃への防御トレーニング
電話やメールを通じたソーシャルエンジニアリング（社会工学）攻撃から身を守るための識別方法や対処策を教育します。
社会工学攻撃の模擬やロールプレイングを通じた抜き打ちテストによるリアルな状況での対応力を向上させます。
脆弱性スキャンとペネトレーションテスト
サードパーティのセキュリティサービスを活用して、外部からのセキュリティ評価や監視を受けます。
ペネトレーションテスト（Penetration Testingまたは略してPen Test）は、コンピュータシステム、ネットワーク、アプリケーション、または組織全体のセキュリティ強化を目的として、合法的な手法で脆弱性を特定し、悪意ある攻撃から保護するためのセキュリティ評価手法です。評価結果に基づいてセキュリティポリシーや技術的な対策を向上させます。
災害復旧計画の策定
災害復旧計画は、予測されるあるいは予測できない災害が発生した際に、事業を迅速かつ効果的に回復させるための計画です。
ドメインにおいては、サーバーダウンやデータ損失に備え、バックアップの定期的な作成と保管、冗長性の確保、クラウドベースのサービスの利用などが重要です。ドメイン名の管理情報の冗長性も確保し、復旧までの時間を最小限に抑えることが目指されます。
１．バックアップと冗長な保存
ドメイン名の管理情報、特に登録情報や設定などは、定期的にバックアップを取ります。
これにより、データが失われた場合でも復旧が可能となります。これらのバックアップは複数の場所に保存し、災害発生時に備えて冗長性を確保します。
２．複数の管理者へのアクセス権限
ドメイン名の管理情報へのアクセス権限を複数の信頼性のある管理者に与えることで、単一の人物がアクセスできなくなった場合でも情報へのアクセスが可能となります。尚、複数の管理者での運用は前述の認証と権限が重要です。
３．ドメインレジストラの信頼性の確認
ドメインを登録する際には、信頼性の高いドメインレジストラを選択することが重要です。信頼性のあるサービスプロバイダーを利用することで、管理情報が確実に保護され、適切な冗長性が確保されます。
４．DNSプロバイダーとの協力
ドメインのDNSサービスを提供するプロバイダーと連携し、冗長性を高めるための手段を検討します。複数のDNSサーバーを利用して情報を配信し、サービスの可用性を向上させます。
まとめ
ドメインセキュリティはオンラインプレゼンスを守るために不可欠です。ドメインセキュリティと一口にいっても、技術的側面、人的側面、あるいはソーシャルエンジニアリング(社会工学）からの影響等さまざまな場面を含みます。正確な対策と定期的な監視を通じて、安全なドメイン環境を維持しましょう。
更に、AIの発達によって脅威の高度化、自動化攻撃、偽造技術向上で技術側面の対策も進化していく必要があります。
また、AIがセキュリティプロセスに組み込まれた場合にコンプライアンスとプライバシーの課題が浮上する可能性があります。特に、個人情報の取り扱いやAIが関与する決定の透明性が重要となってきます。
※ユーザーノートの記事は、弊社サービスをご利用のお客様に執筆いただいております。
医療メーカーで新素材研究開発後、電機メーカーで制御器系システム開発を経てIT系マルチエンジニアをしています。またデザイン思考を実践し、アート思考などのいろんな思考方法に興味があります。
目次へ