運用・信頼性
DNS変更を毎日記録する理由。乗っ取り事故の予兆を捉える
見た目は変わらないまま裏側の接続先だけ変わる、DNS変更の記録です。
DNS変更とは何か
DNS(Domain Name System)は、ドメイン名とサーバーの実体を結びつける仕組みです。Aレコードはホスト名がどのサーバーを指すかを、NSレコードはドメインの管理をどのネームサーバーに委ねているかを、MXレコードはメールの配送先を、それぞれ定義しています。これらの設定はドメインの持ち主がレジストラ(ドメイン管理会社)やDNSサービスを通じて登録するもので、ここに記録された内容がそのままインターネット上でのドメインの振る舞いを決めます。DNSSECは、この設定に対する問い合わせへの応答が途中で改ざんされていないことを保証するための仕組みです。
どうして大事なのか
DNS変更の大半は、サーバーの移転やメールサービスの切り替えなど、意図した作業によるものです。しかし中には、ドメインの更新料の未払いによる失効(その後の第三者による取得)や、レジストラアカウントへの不正アクセスによる乗っ取りといった、深刻な事故の予兆として現れるケースもあります。厄介なのは、DNSが乗っ取られてもサイトの見た目自体はしばらく変わらないままである点です。閲覧者にも運営者にも異常が伝わりにくいまま裏側の接続先だけがすり替わるため、定期的な記録と比較がなければこの種の変化に気づく手段がありません。
ここで引っかかるとどうなる
A・NS・MXのいずれかのレコードに変化が記録されたときは、まず自分が把握している作業(サーバー移転、メールサービスの切り替え、契約更新など)によるものかどうかを確認してください。心当たりがあれば対応は不要です。身に覚えのない変更であれば、ドメインの更新忘れによる失効や、レジストラアカウントへの不正アクセスによる乗っ取りが起きている可能性があり、フィッシングサイトへの誘導やメールの盗み見といった被害につながることもあります。
直す方法
身に覚えのない変更が検知された場合は、まずドメインの有効期限が切れていないかをレジストラの管理画面で確認します。次に、レジストラアカウントのパスワードを変更し、二段階認証を有効化した上で、NSレコードとAレコードが本来意図した接続先を指しているかを確認してください。メールが届かなくなっている場合はMXレコードの誤りも疑います。DNS変更は良い/悪いの自動判定が難しいため、変更があった事実そのものを日次で記録し、心当たりの有無を判断する材料として提供します。
Kotoriではどうやって計測しているか
点検のたびに、DNS over HTTPS(暗号化された経路でDNSに問い合わせる方式)を使い、Aレコード(ホスト名がどのサーバーを指しているか)、NSレコード(ドメインの管理をどのネームサーバーに委任しているか)、MXレコード(メールの配送先)の3種類を取得します。これらはドメイン単位(NSとMXはドメイン全体、Aはホスト名ごと)で記録され、前回の点検結果と比較して、値が変わっていればA・NS・MXのどのレコードが変化したかを記録します。あわせて、DNS応答の改ざんを防ぐ仕組みであるDNSSECが有効になっているかどうかも記録します。