DNSセキュリティ設計｜Route 53 Resolver DNS FirewallとDNSSECで名前解決を守る

ネットワーク層の防御だけでなく、DNSの改ざんや悪性ドメインへの通信を防ぐ設計もANSで問われます。「応答の正当性（改ざん防止）」「問い合わせ先の安全性（悪性ドメイン対策）」「可視化」の3つの観点で整理しましょう。

DNSSECで応答の改ざんを防ぐ

Route 53でホストゾーンの署名を有効化し、リゾルバー側で検証することで、DNSキャッシュポイズニングなど応答の改ざんを検知できます。金融機関など、名前解決結果の完全性が厳格に求められるドメインを運用する場合に有効です。

DNS Firewallで悪性ドメインへの問い合わせを遮断する

Route 53 Resolver DNS Firewallは、VPC内リソースが発行するDNSクエリをドメインリスト（マネージドリストや独自リスト）と照合し、マルウェアやフィッシングサイトへの名前解決をブロックします。マルウェアがC2サーバーのドメインを解決しようとする挙動を、ネットワーク層の前段で遮断したい場合に使います。

可視化

Resolver Query Logsでどのリソースがどのドメインを問い合わせたかを記録し、GuardDutyやAthenaと組み合わせて分析することで、脅威の兆候を早期に把握できます。

チェックリスト

• DNSSECが防ぐ脅威を説明できる
• DNS Firewallのドメインリストの仕組みを理解している
• Resolver Query Logsの活用方法を理解している
• 両者を組み合わせた多層防御を説明できる

DNSの防御は目的の異なる2つの仕組みの組み合わせです。クイズで確認し、詳細はAWS認定 公式ページも参照してください。