[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/dns-vulnerabilities/) * [Japanese](https://unit42.paloaltonetworks.com/ja/dns-vulnerabilities/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [脆弱性](https://unit42.paloaltonetworks.com/ja/category/vulnerabilities-ja/ "脆弱性") [脆弱性](https://unit42.paloaltonetworks.com/ja/category/vulnerabilities-ja/) # DNSの脆弱性の歴史とクラウド ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 2 分で読めます Related Products [![Advanced DNS Security icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced DNS Security](https://unit42.paloaltonetworks.com/ja/product-category/advanced-dns-security-ja/ "Advanced DNS Security")[![Next-Generation Firewall icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Next-Generation Firewall](https://unit42.paloaltonetworks.com/ja/product-category/next-generation-firewall-ja/ "Next-Generation Firewall")[![Prisma Cloud icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/prisma_RGB_logo_Icon_Color.png)Prisma Cloud](https://unit42.paloaltonetworks.com/ja/product-category/prisma-cloud-ja/ "Prisma Cloud") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Daniel Prizmant](https://unit42.paloaltonetworks.com/ja/author/daniel-prizmant/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2020年12月28日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [脆弱性](https://unit42.paloaltonetworks.com/ja/category/vulnerabilities-ja/) * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [DNS cache poisoning](https://unit42.paloaltonetworks.com/ja/tag/dns-cache-poisoning-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/dns-vulnerabilities/?pdf=download&lg=ja&_wpnonce=46edad538b "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/dns-vulnerabilities/?pdf=print&lg=ja&_wpnonce=46edad538b "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=DNSの脆弱性の歴史とクラウド&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fdns-vulnerabilities%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fdns-vulnerabilities%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fdns-vulnerabilities%2F&title=DNSの脆弱性の歴史とクラウド "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fdns-vulnerabilities%2F&text=DNSの脆弱性の歴史とクラウド "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fdns-vulnerabilities%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=DNSの脆弱性の歴史とクラウド%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fdns-vulnerabilities%2F "Share in Mastodon") ## 概要 時折、世界中の何十億台ものデバイスを危険にさらす、新たなDomain Name System (ドメイン ネーム システム - DNS)の脆弱性が発見されています。一般に、DNSの脆弱性は重大です。自分の銀行口座のWebサイトを閲覧したときに、DNSリゾルバが銀行のWebサイトのIPアドレスを返す代わりに、攻撃者のWebサイトのアドレスを返すことを想像してみてください。攻撃者のWebサイトは、銀行のWebサイトとそっくりです。それだけではなく、URLバーにも間違いは見当たりません。ブラウザが、銀行のWebサイトであると本当に認識しているためです。これが、DNSキャッシュポイズニングの一例です。 このブログでは、DNSについて説明するほか、過去の脆弱性から最近発見された高度なものまで、DNSキャッシュポイズニングの脆弱性の歴史を振り返ります。 本ブログで取り上げる脆弱性は、過去20年間に行われたほぼすべてのDNSキャッシュポイズニング攻撃に利用されてきた脆弱性です。 パロアルトネットワークスのお客様は、さまざまな方法([次世代ファイアウォール](https://www.paloaltonetworks.com/network-security/next-generation-firewall)の[DNSセキュリティサービス](https://www.paloaltonetworks.com/products/threat-detection-and-prevention/dns-security) サブスクリプションおよび[Prisma Cloud](https://www.paloaltonetworks.com/prisma/cloud))によって、本ブログで概説する攻撃から保護されています。 ## DNSとは何か? Domain Name System (ドメイン ネーム システム - DNS)は、インターネット(またはプライベートネットワーク)に接続されたコンピュータ、サービス、その他のリソースの階層構造の分散型ネームシステムです。さまざまな情報を、参加している各エンティティに割り当てられているドメイン名に関連付けます。 簡単に言えば、DNSとは、主として名前をIPアドレスに変換するために使用されるプロトコルです。http://www.example.comを閲覧するときに、www.example.comのドメイン名は93.184.216.34などの実際のIPアドレスに変換されます。 #### **DNSサーバーとは何か?** DNSサーバーはDNS解決を提供するデバイスまたはプログラムで、通常ネームサーバーと呼ばれます。ほとんどのデスクトップおよびモバイルのオペレーティングシステムに組み込まれているDNSクライアントが、DNSサーバーとやり取りして名前をIPアドレスに変換します。 結局のところ、権威ネームサーバーと再帰ネームサーバーという2つのタイプのサーバーしか存在しないことを覚えておいてください。権威ネームサーバーはドメインを扱うネームサーバーで、チェーンの最後に位置しています。権威ネームサーバー以外のものは、すべて再帰ネームサーバーです。たとえば、ルーターのDNSサーバー、ISPのDNSサーバー、KubernetesクラスタのDNSサーバーはすべて再帰ネームサーバーです。再帰サーバーはすべて、同じように動作します。何回かの再帰の後、最後に、目的のドメインの権威ネームサーバーに問い合わせます(権威ネームサーバーと再帰ネームサーバー両方の機能を実行するサーバーもありますが、本ブログでは取り上げません)。 #### **仕組み** ![このDNSプロトコルの図は、要求がデバイスからルーターのリゾルバ、そしてルートサーバー、TLDサーバー、要求されたWebサイトの権威サーバーへと流れる模様を示しています。](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2020/12/word-image-225.png) 図1: DNSプロトコルの仕組み DNSリゾルバはDNS階層の(たとえばKubernetesクラスタの)最下層ノードです。DNSの仕組みの基本概念は次のようなものです。DNSリゾルバは自分が知らないドメインについて尋ねられると、それをDNSルートサーバーに尋ねます。ルートサーバーは階層の最上位ノードで、そのアドレスはリゾルバにハードコードされています。ルートサーバーは該当するトップレベルドメイン(TLD)のDNSサーバーのアドレスリストを返します。このDNSサーバーは、該当するDNSゾーン(.com、.netなど)を受け持ちます。TLDサーバーは階層内の次の下位サーバーのアドレスを返し、権威サーバーに到達するまで、これが行われます。 #### **クラウド内のDNS** 近年、クラウドコンピューティングの人気が急増しています。クラウド製品は、直感的でない方法でDNSが組み込まれていることがあります。クラウド内の仮想マシンの場合は、かなり直観的です。DNSリゾルバは、仮想マシンのオペレーティングシステムによって決まります。Windowsを使用している場合は、WindowsにDNSリゾルバが組み込まれています。Linuxを使用している場合は、ディストリビューションに依存します。 しかし、Kubernetesのような他のクラウド製品の場合はどうでしょうか? 単純な仮想マシンとは異なり、KubernetesはDNSリゾルバが組み込まれていないカスタム仮想マシンをノードに使用しています。 さらに、各Kubernetesクラスタには、特別にコンテナ化されたDNSリゾルバが含まれています。クラスタ内のすべてのアプリケーションはこのコンテナ化されたDNSリゾルバにDNS要求を転送し、DNSリゾルバは要求を処理します。 Kubernetesのバージョン1.10までは、DNS要求を処理、キャッシュ、転送するためのアプリケーションパッケージ*kube-dns* がありました。*kube-dns* のコアアプリケーションは*dnsmasq* でした。*dnsmasq* は、DNSサービスに小規模ネットワークを提供する、構成しやすい軽量のDNSフォワーダです。その後、Kubernetesは[CoreDNS](https://github.com/coredns/coredns)に移行しました。これは、[Go](https://golang.org/)で記述されたオープンソースのDNSサーバーです。CoreDNSは、柔軟性のある高速なDNSサーバーです。 #### **キャッシュ** キャッシュは、データを格納し、そのデータに対する以後の要求を迅速に処理するための、ハードウェアまたはソフトウェアコンポーネントです。キャッシュは、DNSサーバーの非常に重要な機能です。DNSサーバーは、以前に変換した名前をキャッシュに格納します。 たとえば、クライアントCがwww.example.comにアクセスしようとして、ネームサーバーがwww.example.comを93.184.216.34に解決した場合、www.example.comのこのIPアドレスが任意の期間保存され、次のDNSクライアントがこの名前を解決しようとしてキャッシュに問い合わせると、キャッシュから迅速に回答が返されます。 #### **DNSキャッシュポイズニングとは何か?** DNSキャッシュポイズニングはDNSサーバー上で行われる攻撃タイプで、最終的にDNSサーバーが、攻撃者が制御するIPアドレスを非攻撃者が制御するドメインに保存することで終了します。 たとえば、攻撃者がDNSサーバーをまんまとだまして、www.example.comのIPアドレスを13.37.13.37として保存させます。これは、実際のIPアドレスではなく、攻撃者が制御する不正なIPアドレスです。 これ以降、キャッシュされたIPアドレスがタイムアウトするまで、www.example.comを解決しようとするDNSクライアントはすべて、攻撃者のWebサイトに「リダイレクト」されます。 ## 過去のDNSの脆弱性 #### **緩和策なし** 過去20年間、多くのDNS攻撃が発見されました。ここでは、最もよく知られている攻撃であるDNSキャッシュポイズニングについて説明します。この攻撃は、DNSスプーフィングとも呼ばれています。 DNSキャッシュポイズニングの仕組み 上で述べたように、リゾルバがドメインのIPアドレスを解決するには、多少時間がかかります。通常、権威サーバーに到達するまでに、複数のサーバーに問い合わせる必要があります。攻撃者はこの時間を悪用して、偽の回答をリゾルバに送信します。 この攻撃は、次のシナリオで行うことができ、すべてのシナリオにおいて攻撃者はリゾルバにパケットを送信できるようになります。 * リゾルバが、リスニングポートをインターネットに対して開いたままにします。 * 攻撃者が、内部ネットワークでエンドポイントをなんとかうまく制御します。 * 内部ネットワーク内のクライアントが、攻撃者が制御するWebサイトを閲覧します。 たとえば、攻撃者が内部ネットワーク内の1つのエンドポイントに侵入し、ローカルリゾルバのキャッシュを汚染しようとしているとします。重要なのは、この攻撃を、ISPのリゾルバなどより重要なリゾルバに、まったく同じ方法で実施できるという点です。 クライアントはwww.example.comにアクセスし、ドメインがリゾルバのキャッシュから消えているため、上で説明したプロセスを開始して、ドメインのアドレスを解決します。その間、攻撃者はDNSサーバーの回答に見せかけて、偽のIPアドレスを含むアンサーパケットをリゾルバに送信します。これが攻撃の基本概念ですが、いくつか緩和策があります。トランザクションIDやソース ポート ランダマイゼーションなどです。 DNSはトランザクションID (TXID)と呼ばれるものを使用して、各応答を正しい要求と一致させています。攻撃者は正しいトランザクションIDを持つ応答を提供する必要があり、さもないとDNSサーバーはパケットを破棄します。何年も前に開発された時点では、このメカニズムはセキュリティ機能ではなく、ただ単に応答を要求と一致させる方法でした。DNSの脆弱性が発見される前、DNSは昇順のインデックスをトランザクションIDとして使用していました。攻撃者は、その数値を簡単に推測することができました。 ![DNSの脆弱性があると、DNSプロトコルはDNSキャッシュポイズニング攻撃(ここで説明した攻撃など)を受けやすくなります。ここでは、攻撃者はルーターのリゾルバに干渉して、要求されたドメインの解決に使用するための、偽のIPアドレスを提供します。](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2020/12/word-image-226.png) 図2: DNSキャッシュポイズニング攻撃 攻撃者はドメインを購入し、自身が制御するDNSサーバーを構成する必要がありました。次に、攻撃者はローカルネットワーク内のリゾルバに自身のドメインについて尋ねます。ローカルリゾルバは、攻撃者が制御するDNSサーバーを知っているDNSサーバーに到達するまで、要求を階層型DNSの上位に転送します。この時点で、元のDNS要求(攻撃者が内部ネットワークから発行した)は攻撃者が制御するDNSサーバーに到達しているため、トランザクションIDが攻撃者に暴露されます。 攻撃者は先ほど発見したトランザクションIDを使用して、偽の応答が受け入れられるために必要なトランザクションIDを得ることになります。この場合、攻撃者は複数のトランザクションIDで複数の偽の応答を送信して、いずれかが正しいことを確認できます。攻撃者の残りの作業は、ローカルのDNSリゾルバのキャッシュにないドメインに対するDNS要求を発行し、そのドメインのトランザクションIDを使用して直ちに偽の応答を送信するだけです。 ローカルリゾルバは正しいトランザクションIDの応答を取得し、他は破棄して、アドレスをキャッシュします。このあと任意の期間、そのドメインにアクセスしたローカルクライアントは攻撃者のWebサイトに転送されます。 #### **新しい緩和策** 実施された明確な緩和策は、各要求のトランザクションIDをランダム化することでした(昇順のカウンタを使用するのではなく)。この緩和策により、攻撃の実施が非常に困難になりました。どれくらい困難になったか? MAX\_SIZE\_OF\_QUERY\_IDが困難になりました。トランザクションIDは16ビットであるため、この緩和策により、攻撃は以前の65,536倍困難になりました。悪くはありませんが、万全でもありません。 #### **2回戦に突入!** こうした緩和策は、攻撃者をしばらくの間、遠退けることができましたが、最終的にインターネットは追いつきました。16ビットのランダム化キーはかなり大きいですが、十分に大きいわけではありません。計算してみましょう。 次の計算では、いくつかのデータを指定する必要があります。 * 標準的なDNS応答のサイズ: 100バイト= 800ビット * 攻撃者の帯域幅: 1メガ**ビット**(Mb)/秒= 1,000,000ビット * 正当な応答がリゾルバに戻るのにかかる時間: 2秒 (2秒に関する注記: 現代のインターネット接続では、キャッシュされていないドメインであっても、間違いなく2秒未満でDNS要求を実行できます。しかし、この例では待ち時間を設定しました。また、インターネット速度も過去のもの(1 Mb/秒)を選択しました。 使用できるトランザクションIDは65,536あり、攻撃を成功させるのに必要なトランザクションIDを持つ応答を送信するために、2秒の時間があります。攻撃ごとの成功率を計算するには、リゾルバに実際の正当な応答が到達する前に、攻撃者が発信できる応答パケットの数を見つけ出す必要があります。これは簡単に計算できます。帯域幅をパケットのサイズで割ったものに時間を掛けます。 帯域幅が1 Mb/秒の場合、攻撃者は1秒に最大1,000,000/800 = 1,250の応答パケットを送信できます。攻撃者が持つ時間は2秒であるため、2,500の応答パケットを送信できます。帯域幅が1 Mb/秒で成功率が50%以上の場合、見込みのある攻撃を実施するのに必要な試行回数は約18回です。 (計算の詳細は、[ここ](https://www.wolframalpha.com/input/?i=1-%281-%28%281000000%2F800%29*2%29%2F2%5E16%29%5Ex%3E0.5)をご覧ください。1,000,000は、1 Mb/秒接続で1秒間に送信できるビット数です。このビット数を800で割ったものがDNS応答のサイズで、この値により1秒間に送信できる応答数が得られます。時間が2秒であるため、応答数に2を掛けます。この値を2の16乗で割ったものが、トランザクションIDフィールドのサイズで、これが1回の攻撃の*成功率* です。攻撃を成功させるには、*x回試行し、そのうちの1回が成功する必要があります* 。*x* 回の試行を「実験」と呼び、その実験から得られるすべての結果を*標本空間* (Ω)と呼びます。標本空間で何かが出る確率は間違いなく100%です(これは、式の外側1です)。見込みのある攻撃の確率を求めるには、標本空間全体から「1回以上の攻撃で成功する」以外のもの、つまり*x回の試行すべてに失敗する* を引く必要があります。1回の試行での失敗は「すべて(1)から1回の試行での成功を引いたもの」であり、1から成功率を引いたものになります。では、Wolfram Alphaで、この式で0.5 (50%)より大きい値が得られる*x*を求めてみましょう。) 言い換えれば、この緩和策の実施**後**、帯域幅1 Mb/秒の攻撃者は、たった18回の試行で、50%を超える成功率を達成できました。このように、昔はこの破壊的な攻撃をいとも簡単に実施できたのです。 #### **さらなる緩和策** 最初は、このような弱い緩和策が選択されたことを意外に思うかもしれません。しかし、DNSプロトコルを完全に再構築することは不可能であったことを思い出してください。インターネットを破壊してしまう可能性がありました。組み込みのリゾルバを持つデバイスだけを考えてください。それらのデバイスが完全に動作を停止する可能性がありました。しかし、それ以上の何かを実施する必要があります。上述したように、トランザクションIDによる緩和策は脆弱でした。 そこで、同じ緩和策を、今度はソースポートで使用しました。DNSクライアント、リゾルバ、ネームサーバーからのDNS要求は、ソースポートから送信されます。この緩和策の前まで、ソースポートはランダム化されていませんでした。 ソースポートはトランザクションIDと同じ16ビットの数値で、その機能のためにのみ使用されます。たとえば、リゾルバがポート10650を使用しようとして、このポートが前の要求で使用中の場合、リゾルバは10651を使用します。むろん、他の用途向けのポートもあるため、16ビットすべてを利用できるわけではありません。 ソースポートとトランザクションIDの組み合わせは、DNS通信の**キー**(32ビットキー)として使用されます。これは、これから説明する攻撃において重要であるため、覚えておいてください。これらの追加の16ビットにより、攻撃の成功率が著しく減少しました。 以前は、帯域幅1 Mb/秒での成功率は3.8% ([Wolfram Alphaでの計算](https://www.wolframalpha.com/input/?i=%28%281000000%2F800%29*2%29%2F2%5E16+in+percent)を参照)でした。ソースポートによる緩和策を実施した場合、実施前と同じデータで攻撃が成功する確率は0.00005821%です。実施前と同じ成功率を実現するために必要な試行回数は1,190,820回です。攻撃の成功は確実ではなくなり、事実、ソース ポート ランダマイゼーションによってほとんどのDNSキャッシュポイズニング攻撃は終止符を打たれました。 ## より高度な脆弱性 これまでは、主として単一のDNSレコード、"www.example.com is at 93.184.216.34" (Aレコードとも呼ばれます)のキャッシュポイズニングについて説明してきました。ルーターやKubernetesクラスタなど、標的のDNSサーバーでレコードを汚染してきました。このアプローチでは、1つのドメインを汚染する難しい攻撃に懸命に取り組んできましたが、もっとうまくやれたかもしれません。 2008年に、セキュリティ研究者のDan Kaminskyがよりよいアプローチを[発見](https://www.blackhat.com/html/webinars/kaminsky-DNS.html)しました。これは、本ブログでこれまで説明したアプローチよりも、ずっと効果的なアプローチです。この脆弱性は、セキュリティコミュニティに大騒動を巻き起こしました。一般的な実行方法は、これまで説明した方法とほぼ同じであるため、引き続きトランザクションIDとソースポートを推測する必要があります。成功率はほぼ同じですが、Kaminskyの方法では、成功した場合に、より多くのレコードを汚染することができました。 #### **NSレコード** 名前が示すように、ネームサーバー(NS)レコードは、どのDNSサーバーがドメインの**権威** であるか、つまり、どのサーバーにドメインの実際のIPアドレスが含まれるかを示すDNSレコードです。上記の例では、example.comのNSレコードは、www.example.com、email.example.comおよび?.example.comのアドレスを保持するサーバーです。 ここでの攻撃者の目標は、標的のリゾルバを汚染することです。つまり、標的がwww.example.com、email.example.comまたは?.example.comにアクセスしようとしたときに、リゾルバに要求をexample.comネームサーバーではなく**攻撃者**のネームサーバーに転送させることです。 この方法によって、攻撃者は以前のようにwwwへのアクセスだけではなく、example.comのすべてのサブドメインへのすべてのアクセスを制御します。 #### **しかし、どうやって?** 意外にも、この攻撃は本ブログで説明した前の攻撃とよく似ています。ただし、攻撃者はリゾルバのキャッシュをAレコードで汚染するのではなく、NSレコードでキャッシュを汚染しようとします。 攻撃者はまず、汚染しようとするドメインのネームサーバーを構成します。誰かが自分のネームサーバーを任意のドメインの権威サーバーとして構成することを阻むものは、何もありません。ただし、他のサーバーが権威サーバーを指すことはないため、これは通常は無意味です。 ![より高度なDNSの脆弱性によって、ここに図示するように、完全なゾーンポイズニング攻撃への道が開けます。ここでは、攻撃者は単一のレコードではなくNSレコードを汚染し、影響はより大きいものになります。](https://unit42-preview.paloaltonetworks.com/wp-content/uploads/2020/12/word-image-227.png) 図3: 完全なゾーンポイズニング攻撃 次に、攻撃者は汚染するゾーンのサブドメインに対するDNS要求を発行します。キャッシュされていない、したがってリゾルバが要求をルートサーバーに転送することが分かっているドメインでなければなりません。それだけでなく、この例では、そのドメインのNSレコード、example.comの権威ネームサーバーもキャッシュされていないことが必要です。キャッシュされた場合、リゾルバは要求をルートサーバーにすら転送せずに、その権威ネームサーバーに直接転送します。 攻撃者が、標的のリゾルバに要求をルートサーバーへと転送させた後、ルートサーバーは通常、「答えはわかりません。向こうにあるサーバーに尋ねてください。サーバーのIPアドレスは次のとおりです。」というような内容のNSレコードで応答します。 これが、難しい部分です。攻撃を成功させるには、攻撃者はルートサーバーをしのぎ、ルートサーバーの応答が送信される前に、汚染された応答を配信する必要があります。それには、目的のドメインのNSレコードを含む大容量の応答を送信します。攻撃者がトランザクションID (そして、恐らくソースポートも)を推測する必要があることを忘れないでください。 NS回答にはそれぞれ、「接着剤」レコードが含まれます。これは、ネームサーバーの実際のIPアドレスです。他の方法であったなら、要求元サーバーはネームサーバーをどこで見つけたらよいかわからないでしょう。リゾルバはこの接着剤レコードを受信してキャッシュし、接着剤が指すネームサーバーに問い合わせて、要求されたドメインのアドレスを取得します。 攻撃が成功した場合、以後、リゾルバに送信された、汚染されたドメインゾーン下のキャッシュされていないドメイン(www.example.comのexample.com)の要求は、攻撃者のネームサーバーに到達します。 #### **アプリケーション** この高度な攻撃では、攻撃者は同時に多数のドメインを汚染できます。理論的には、攻撃者は.comゾーン全体を汚染することもできます。 .comのような大きいゾーンを汚染するのは困難ですが、攻撃者が実際にキャッシュ全体を汚染しようとした事例もあります。次のような例があります。 * 2015年1月26日、あるハッカー集団が[マレーシア航空のWebサイトにアクセスしたユーザーを、悪意のあるコンテンツを表示する別のサイトにリダイレクト](https://www.bbc.com/news/world-asia-30978299)しました。 * 2011年11月7日、ハッカーが[インターネット サービス プロバイダ(ISP)のキャッシュ全体を汚染](https://securelist.com/massive-dns-poisoning-attacks-in-brazil/31628/)し、ユーザーが要求したサイトにリダイレクトする前に、ユーザーをマルウェア インストール サイトにリダイレクトしました。 * 2009年12月18日、Twitterが一時的に(約1時間)[DNSハイジャック攻撃](https://www.theregister.com/2009/12/18/dns_twitter_hijack/)の影響を受けました。 こうした攻撃が、毎年何百も実施されています。 #### **緩和策** 新しい緩和策は行われませんでした。すでに使用されていたトランザクションIDとポートランダマイゼーションによる緩和策により、この攻撃はすでにほぼ実施不能であったためです。しかし、攻撃者が「通常の」単一のAレコード攻撃ではなく、この攻撃を使用してこれらの緩和策を乗り越えようとした場合、攻撃はより激しいものになります。 以前と同じように、トランザクションIDとポートランダマイゼーションを一緒に使用して、攻撃者が推測できないくらい十分に大きいキーを作成して、攻撃を緩和します。 ## 最新の脆弱性 DNSプロトコルが安全であると考えられる場合でも、開発者はDNSプロトコルを安全に実装できないことがあります。 たとえば、一般に、ランダム化関数は予測不能であるため、暗号化キーの生成に使用できると誤解されています。しかし、ランダム化関数は暗号化またはセキュリティに使用するものではありません。残念なことに、DNSの実装ではしばしば、ランダム化関数の誤用が発生します。 [2年前](https://github.com/miekg/dns/issues/1043)に、CoreDNSでトランザクションIDをランダム化するのに使用された関数で発生しました。開発者は、Golangの非暗号的に安全な疑似乱数ジェネレータであるmath.randを使用することにしました。これは、大きな問題でした。攻撃者がトランザクションIDを予測できる場合、本ブログで説明したように、CoreDNSのキャッシュを確実に汚染できます。これは、CoreDNSをDNSリゾルバとして使用するアプリケーションはすべて、悪意のあるDNSレコードに対して脆弱であることを意味します。CoreDNSは主としてKubernetesに使用されているため、クラスタ全体のどのノードのどのアプリケーションもこの攻撃を受けやすいことになります。 もう1つの例は、[数週間前に発見されたばかりの新たな手法](https://dl.acm.org/doi/pdf/10.1145/3372297.3417280)です。この手法では、Internet Control Message Protocol (ICMP)を使用して、サーバー上で閉じているポートを正確に特定することで、実際に空いているポートを明らかにします。この手法をDNS攻撃で使用することで、攻撃者が推測する必要のあるポートの数が著しく減少し、前述のポートランダマイゼーションによる緩和策の効果が減少します。 むろん、バッファオーバーフローのようなキャッシュに関連しない脆弱性もあります。*dnsmasq* は多くのLinuxディストリビューションおよびルーターで使用されている一般的なDNSリゾルバで、Kubernetesの初期のバージョンでも使用されていました。最近では、サービス拒否(DoS)につながる可能性のある大量のメモリの欠陥、リモートコード実行(RCE)などに対して[*dnsmasq*が脆弱であること](https://access.redhat.com/security/vulnerabilities/3199382)が判明しました。 ## 結論 本ブログで説明したDNS攻撃は、成功した場合、破壊的な結果を招く可能性があります。最新の緩和策のおかげで、リゾルバアプリケーションの他の脆弱性と組み合わせない限り、攻撃者がDNSポイズニング攻撃を成功させる可能性は低くなりました。残念ながら、こうした脆弱性は、今日たびたび検出されています。 長年にわたって、リサーチャーは[User Datagram Protocol (ユーザー データグラム プロトコル - UDP)フラグメンテーション](https://ripe67.ripe.net/presentations/240-ipfragattack.pdf)など、本ブログで説明したいくつかの緩和策を克服する手法を発見してきました。 それでも、昨今は安全なブラウジングや証明書が使用されているため、攻撃者がドメインのDNSサーバーを汚染しようとしても、証明書が一致しないため、ほとんどの場合ブラウザの標的はページをロードしません。しかし、ISPのDNSリゾルバを汚染し、要求を存在しないIPアドレスに転送するという手法が、大規模なDoS攻撃でいまだに使用されています。 パロアルトネットワークスのお客様は、さまざまな方法によって、本ブログで概説した攻撃から保護されています。パロアルトネットワークスの次世代ファイアウォールは、疑わしいDNSクエリおよび異常なDNS応答を検出することで、DNS攻撃をブロックできます。枯渇または大量のトラフィックに関連する攻撃は、ファイアウォールに組み込まれているDoSまたはゾーン プロテクション プロファイルで対処できます。これらの保護が、DNSに対する脅威への対応およびDNSセキュリティサービスを介したインジケータに加えて提供されます。 さらに、Prisma Cloudで旧式の脆弱なコンポーネントおよびクラウド内の構成が不適切なアプリケーションに関するアラートを送信することで、クラスタを保護できます。本ブログで説明したほとんどの攻撃で、内部からDNSサーバーに悪意のあるパケットを送信するには、クラスタの内部ネットワークを侵害する必要があります。こうした侵害はほとんどの場合、時代遅れの構成が不適切なアプリケーションを悪用して行われます。 トップに戻る ### タグ * [DNS cache poisoning](https://unit42.paloaltonetworks.com/ja/tag/dns-cache-poisoning-ja/ "DNS cache poisoning") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:タイムラインで見たSolarStormサプライチェーン攻撃](https://unit42.paloaltonetworks.com/ja/solarstorm-supply-chain-attack-timeline/ "タイムラインで見たSolarStormサプライチェーン攻撃") ### 目次 * ## 関連項目 リソース ![Pictorial representation of a severe Linux vulnerability. Close-up of a woman wearing glasses and focusing intently on a computer screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/05_Vulnerabilities_1920x900-2-1-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年5月5日 [#### Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/) * [Containers](https://unit42.paloaltonetworks.com/ja/tag/containers-ja/ "Containers") * [CVE-2026-31431](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-31431/ "CVE-2026-31431") * [Kubernetes](https://unit42.paloaltonetworks.com/ja/tag/kubernetes-ja/ "Kubernetes") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/ "Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識") ![Pictorial representation of BeyondTrust vulnerability CVE-2026-1731. Digital art depicting a stylized mountain range with vibrant blue and red hues. The peaks are accentuated by glowing particles and an abstract, starry backdrop, creating a futuristic landscape.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/14_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月19日 [#### BeyondTrustの深刻な脆弱性（CVE-2026-1731）の悪用においてVShellおよびSparkRATを確認](https://unit42.paloaltonetworks.com/ja/beyondtrust-cve-2026-1731/) * [Bash](https://unit42.paloaltonetworks.com/ja/tag/bash-ja/ "bash") * [CVE-2026-1731](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1731/ "CVE-2026-1731") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/beyondtrust-cve-2026-1731/ "BeyondTrustの深刻な脆弱性（CVE-2026-1731）の悪用においてVShellおよびSparkRATを確認") ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/AdobeStock_1020436911-786x440.jpeg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月17日 [#### 野放し状態で悪用されているIvanti EPMMの深刻な脆弱性](https://unit42.paloaltonetworks.com/ja/ivanti-cve-2026-1281-cve-2026-1340/) * [CVE-2026-1281](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1281/ "CVE-2026-1281") * [CVE-2026-1340](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1340/ "CVE-2026-1340") * [Ivanti](https://unit42.paloaltonetworks.com/ja/tag/ivanti-ja/ "Ivanti") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/ivanti-cve-2026-1281-cve-2026-1340/ "野放し状態で悪用されているIvanti EPMMの深刻な脆弱性") ![Pictorial representation of CVE-2025-0921. Digital illustration of a map of North America with interconnected glowing lines and dots symbolizing network connections across the continent.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/06_Vulnerabilities_1920x900-2-1-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月30日 [#### SCADAシステムに存在する特権ファイルシステムの脆弱性](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/) * [CVE-2025-0921](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-0921/ "CVE-2025-0921") * [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/ "privilege escalation") * [SCADA](https://unit42.paloaltonetworks.com/ja/tag/scada/ "SCADA") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/ "SCADAシステムに存在する特権ファイルシステムの脆弱性") ![Pictorial representation of remote code execution in AI and machine learning libraries. Close-up of a woman wearing glasses and focusing intently on a computer screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/05_Vulnerabilities_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月13日 [#### 最新のAI/MLフォーマットとライブラリによるリモート コード実行](https://unit42.paloaltonetworks.com/ja/rce-vulnerabilities-in-ai-python-libraries/) * [Apple](https://unit42.paloaltonetworks.com/ja/tag/apple-ja/ "Apple") * [CVE-2025-23304](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-23304/ "CVE-2025-23304") * [CVE-2026-22584](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-22584/ "CVE-2026-22584") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/rce-vulnerabilities-in-ai-python-libraries/ "最新のAI/MLフォーマットとライブラリによるリモート コード実行") ![Pictorial representation of MongoBleed, CVE-2025-14847. Digital image featuring a glowing padlock icon superimposed on a background of streaming blue binary code, symbolizing cybersecurity.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/AdobeStock_233494953-786x429.jpeg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年1月13日 [#### 脅威ブリーフ: MongoDB の脆弱性 (CVE-2025-14847)](https://unit42.paloaltonetworks.com/ja/mongobleed-cve-2025-14847/) * [CVE-2025-14847](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-14847/ "CVE-2025-14847") * [MongoDB](https://unit42.paloaltonetworks.com/ja/tag/mongodb-ja/ "MongoDB") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/mongobleed-cve-2025-14847/ "脅威ブリーフ: MongoDB の脆弱性 (CVE-2025-14847)") ![Pictorial representation of CVE-2025-55182 (React) and CVE-2025-66478 (Next.js). Close-up of a digital display on electronic equipment with illuminated text reading "SYSTEM HACKED" in red, set against a blurred background of blue and red lights.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/02_Vulnerabilities_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2025年12月12日 [#### React Server Components における重大な脆弱性の悪用 (12月12日更新)](https://unit42.paloaltonetworks.com/ja/cve-2025-55182-react-and-cve-2025-66478-next/) * [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike") * [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182") * [CVE-2025-66478](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-66478-ja/ "CVE-2025-66478") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cve-2025-55182-react-and-cve-2025-66478-next/ "React Server Components における重大な脆弱性の悪用 (12月12日更新)") ![Pictorial representation of an authentication coercion attack. Panoramic view of a city skyline at night, featuring vibrant light beams from skyscrapers and a deep blue sky.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/07_Vulnerabilities_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月10日 [#### 新たなアップデート。進化し続ける強制認証テクニック](https://unit42.paloaltonetworks.com/ja/authentication-coercion/) * [Mimikatz](https://unit42.paloaltonetworks.com/ja/tag/mimikatz-ja/ "Mimikatz") * [PrintNightmare](https://unit42.paloaltonetworks.com/ja/tag/printnightmare-ja/ "PrintNightmare") * [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/ "privilege escalation") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/authentication-coercion/ "新たなアップデート。進化し続ける強制認証テクニック") ![Pictorial representation of LANDFALL spyware. An illustration of a glowing red warning icon centered on a detailed blue circuit board background, representing a vulnerability in Samsung Galaxy devices.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/09_Nation-State-cyberattacks_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月7日 [#### LANDFALL: Samsungデバイスを標的とするエクスプロイト チェーンで使用される、新種の商用グレードAndroidスパイウェア](https://unit42.paloaltonetworks.com/ja/landfall-is-new-commercial-grade-android-spyware/) * [Android](https://unit42.paloaltonetworks.com/ja/tag/android-ja/ "Android") * [Apple](https://unit42.paloaltonetworks.com/ja/tag/apple-ja/ "Apple") * [CVE-2025-21042](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-21042-ja/ "CVE-2025-21042") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/landfall-is-new-commercial-grade-android-spyware/ "LANDFALL: Samsungデバイスを標的とするエクスプロイト チェーンで使用される、新種の商用グレードAndroidスパイウェア") ![Pictorial representation of CVE-2025-59287. Digital image of a glowing padlock symbol representing cybersecurity on a network grid with blue and orange lights.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/08_DNS_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2025年11月3日 [#### Microsoft WSUSのリモートコード実行の脆弱性（CVE-2025-59287）、実環境における活発な悪用を確認（11月3日更新）](https://unit42.paloaltonetworks.com/ja/microsoft-cve-2025-59287/) * [CVE-2025-59287](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-59287-ja/ "CVE-2025-59287") * [Microsoft](https://unit42.paloaltonetworks.com/ja/tag/microsoft-ja/ "Microsoft") * [Microsoft Vulnerability](https://unit42.paloaltonetworks.com/ja/tag/microsoft-vulnerability-ja/ "Microsoft Vulnerability") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/microsoft-cve-2025-59287/ "Microsoft WSUSのリモートコード実行の脆弱性（CVE-2025-59287）、実環境における活発な悪用を確認（11月3日更新）") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)