DNS監視

DNSは基盤 - しかも最も壊しやすい部分

DNSはすべての基礎にあります。すべてのウェブリクエスト、すべてのメール、すべてのAPIコールは必ずDNSルックアップから始まります。だからこそ、DNSレコードの静かな変更は最も多く利用される攻撃手段の一つであり、そして不注意なチームメンバーがしやすい最も簡単なミスの一つでもあります。DNSの変更は、あなたのドメインをフィッシングページのコピーにリダイレクトしたり、メールを攻撃者のサーバー経由にルーティングさせたり、検索ランキングから除外されたり、タイプミス一つで全サービスを落とすことも可能です。多くの場合、DNSの被害は悪意によるものではなく、単なる運用上の変更が誰にも告知されないまま実施されて、下流で問題を引き起こしてしまうケースです。

DNSモニタリングは、各チェックごとにDNSレコードのスナップショットを作成し、前回からの違いを比較することで、そのような変更を検知します。追跡対象のレコードに追加や削除があった場合、アラートが送信されます。それが予定されていた変更であれ、設定ミスであれ、実際のハイジャックであれ、数時間以内に把握することができます。

監視対象のレコード種類

各HTTPタイプのモニターでは、毎日深いチェックにより以下のレコードタイプが取得されます：

• AおよびAAAA：ホスト名が解決されるIPv4・IPv6アドレス。変更されると、故意であれレジストラの乗っ取りであれ、トラフィックは別の場所へ流れます。
• MX：メールエクスチェンジャー。新しいMXレコード（もしくは欠落）があると、メールのルーティングが変化します。メールの静かなロストはビジネスにとって最悪シナリオの一つです。
• NS：ネームサーバー。これが変わると、あなたのDNSゾーンが別の業者に移されます。これはドメインに対する最も強力な変更です。NSの変更はほぼ全て計画的な移行かレジストラへの攻撃成功に起因します。
• TXT：各種テキストレコード。ドメイン検証（Google、Microsoft、Stripeなど）やSPF/DKIM/DMARCでも使われます。
• SPF、DMARC、CAA：メールのセキュリティや証明書発行向けの専用レコード。特にCAAの変更は、攻撃者があなたのドメイン用のTLS証明書を取得できるリスクにつながります。

ダッシュボードでは各モニターの詳細表示で、すべての最新レコードが一覧で確認できます。現在何が公開されているか一目で把握可能です。

変更検知

モニターは各監視対象ごとにA、AAAA、MX、NSのスナップショットを保持します。毎回のディープチェック時に、その時点のレコードとスナップショットを比較します。消えたレコードは「削除済み」、追加は「新規追加」と扱われます。両方のリストが変更通知レポートに含まれます。

もし監視対象レコード群のいずれかに変化があれば、設定されたチャンネルにアラートが飛びます。通知にはどのレコードタイプが変化したかと、追加・削除の内容が明記されます。「example.comのDNSが変更されました」ではなく、「example.comのMX：mail.oldhost.comが削除され、mail-1.attacker.comが追加されました」という形で、状況が直感的に把握できます。

大量のノイズを発生させる計画的な移行時などは、他のアラートと独立してDNS変更アラートのみをオフにできます。オフにして移行し、安定化後に再度オンにしてください。

なぜ他のツールが見逃す変化も検出できる？

多くの稼働監視ツールはDNSをインストール時の処理としかみなし、URLの解決だけに使った後は忘れてしまいます。しかしもし、競合（あるいは攻撃者、あるいは週末に発生したバグ修正）がDNSを変更した途端、その解決先IPが変わります。HTTPモニターだけだと、新IPが200を返している限り「異常なし」と表示され、DNSレベルでの変化は手動チェックされるまで分かりません。その結果、数日分のメールをロストしたり、検索順位が数週間消えることもあり得ます。

DNSのモニタリングは、DNSプロバイダ自体の問題にも対応します。プロバイダによってはゾーン更新時に偶発的にレコードを消してしまったり、あるいは地域障害によって地域ごとに返す答えが異なる場合も。スナップショットの比較はそういった不安定さも明らかにします。

設定方法

DNSモニタリングはすべてのHTTP／キーワード／APIモニターで自動的に有効です。モニター追加から24時間以内の初回ディープチェック時にベースラインとしてスナップショットが保存されます—初回ではアラートは出ず、以降のチェックで差分があった場合のみ通知されます。DNS変更アラートのオン／オフは、通知メニュー内の「DNS変更を通知する」のトグルで切り替え可能です。どのモニターも拡大表示で、変更監視対象外のSPF・DMARC・CAAも含め、DNSの最新状態が常時確認できます。定期的な確認に便利です。

よくある質問

• モニターはどのDNSレコードを監視しますか？

  デフォルトではA、AAAA、MX、NS、TXT、およびCNAMEです。各チェック時に解決した値のスナップショットを作成し、どれかが変化した（追加、削除、変更があった）場合にアラートします。

• なぜDNSを監視する必要があるのですか？私のDNS業者は信頼できるのでは？

  信頼性自体は問題ではなく、「変更」が問題です。DNS乗っ取り、移行時のミスによる更新、外部CDNによるIPローテーション、レジストラアカウントへの不正アクセス—それらはすべてレコードの変化として現れます。DNSモニタリングなら、何日もかかる前に数分で把握できます。

• TTLキャッシュによる影響はどう対処していますか？

  解決は権威ネームサーバー（ローカルリゾルバではなく）へのクエリを使って行うため、TTLキャッシングで変化が隠れることはありません。各チェックで新鮮な権威クエリが実行され、ソースレコードが変化していれば、次回チェックで必ず検知します。

• DNSSECの検証ステータスも監視できますか？

  はい。モニターはDNSSECの状態（署名あり／なし）も各チェックごとに記録し、変化時はアラートします。昨日はDNSSEC署名ありだったのに今は未署名なら、それは即座に調査が必要なセキュリティインシデントです。

• DNSのロードバランシングで誤検知（false positive）は出ませんか？

  「A」レコードが複数のIPをローテーション返す場合、各チェックで「変更」と判断されることがあります。これを防ぐには、expected-values設定ですべての想定IPを登録するか、そのドメインのAレコード監視を無効化し、可用性確認はHTTPチェックのみ使うことをおすすめします。