WebコンテンツフィルタリングとDNSシンクホール

Web閲覧は、マルウェアのダウンロード、ドライブバイ攻撃、フィッシングページなど、ユーザーが危険なURLにアクセスすることを利用した攻撃の一般的な侵入経路です。Webコンテンツフィルタリングは、ユーザーやデバイスがアクセスできるWebサイトを制御し、接続が確立される前に、悪意のあるコンテンツやポリシー違反のコンテンツのカテゴリをブロックします。フィルタリングは、ネットワークプロキシ層、DNS層、またはエンドポイント自体に適用できます。適切に設定すれば、他の防御策が失敗した場合でも、マルウェアのダウンロード、コマンドアンドコントロール（C2）へのコールバック、データの持ち出しを阻止できます。

Webプロキシは、クライアントとインターネットの間に配置されます。ユーザーがURLを閲覧すると、リクエストはプロキシに送られ、Webroot、Zscaler、Palo Altoなどのベンダーが管理するカテゴリ分類済みURLデータベースと照合されます。カテゴリがブロック対象（マルウェア、ギャンブル、成人向けコンテンツなど）の場合、プロキシはブロックページを返します。許可されている場合、プロキシはコンテンツを取得してユーザーに返します。明示的プロキシではブラウザーの設定が必要ですが、透過プロキシはクライアント側の設定なしでトラフィックをインターセプトします。クラウドベースのSecure Web Gateway（SWG）は、トラフィックを企業ネットワーク経由でヘアピン接続することなく、リモートユーザーにもフィルタリングを適用できます。

DNSベースのフィルタリングは、TCP接続が確立される前に、DNS名前解決の段階で悪意のあるドメインをブロックします。デバイスが既知の悪意のあるドメインを問い合わせると、DNSリゾルバーは実際のアドレスではなくシンクホールIP（またはNXDOMAIN）を返し、接続そのものを阻止します。Cisco Umbrella、Cloudflare Gateway、Quad9などのサービスは、数十億件のクエリにリアルタイムで脅威インテリジェンスを適用するクラウドDNSリゾルバーとして動作します。DNSフィルタリングは、C2へのコールバックに使用されるドメインや、マルウェア配布用ドメインのブロックに特に効果的です。

DNSシンクホールは、ブロック対象のドメインに対して、偽の制御されたIPアドレスを返すサーバーです。エンドポイント上のマルウェアがC2ドメインの名前解決を試みると、シンクホールはシンクホールサーバーのIPアドレスを返します。マルウェアの接続試行はシンクホールサーバーに到達し、そこでログに記録されます。これにより、感染した内部ホスト（C2クエリを送信しているホスト）、コールバックの試行頻度、活動中のマルウェアファミリー（C2ドメインに基づく）が明らかになります。シンクホールは、ブロックした悪意のあるトラフィックを脅威インテリジェンスに変えます。単にブロックするだけでなく、修復が必要な感染ホストを特定できるのです。

URLフィルタリングデータベースは、数十億件のURLを、マルウェア、フィッシング、ボットネットC2、匿名化サービス／VPN、成人向けコンテンツ、ギャンブル、ソーシャルメディア、クラウドストレージ、ストリーミングメディア、ニュースなど、数百種類のカテゴリに分類します。管理者は、ブロックポリシー（常に拒否）、許可ポリシー（常に許可）、警告ポリシー（ユーザーに警告を表示し、続行するにはクリックを要求）を設定します。URLのカテゴリ分類はベンダーによってリアルタイムで更新され、新たに発見された悪意のあるドメインは通常、検出から数分以内に追加されます。カテゴリ分類データベースの品質が、フィルタリングの有効性を直接左右します。

Webトラフィックの大半はHTTPSであるため、コンテンツフィルタリングプロキシは、暗号化されたセッションの内部を確認するためにSSL/TLSインスペクション（SSLバンピングまたは中間者インスペクションとも呼ばれます）を実行する必要があります。プロキシはクライアントからのTLSセッションを終端し、コンテンツを検査してから、サーバー向けに再暗号化します。企業CA証明書はMDMを介して管理対象のすべてのエンドポイントに配布されるため、クライアントはブラウザーの警告なしに、プロキシが再署名した証明書を信頼できます。プライバシー上の懸念や規制上の制約から、銀行、医療ポータル、法律研究サイトなど、検査対象から除外すべきカテゴリもあります。

DNSベースのフィルタリングにおける大きな課題はDNS over HTTPS（DoH）です。ChromeやFirefoxなどのブラウザーはDoHをサポートしており、ローカルの再帰リゾルバーではなく、1.1.1.1や8.8.8.8などのリゾルバーにDNSクエリを暗号化して送信します。クエリが企業DNSサーバーに到達しないため、DNSシンクホールやフィルタリング制御がバイパスされます。企業での対策には、グループポリシーでDoHを無効にする、ファイアウォールでDoHリゾルバーのIPアドレスをブロックする、または透過プロキシを使用してポート443/853のすべてのトラフィックを企業のDoH対応リゾルバーにリダイレクトする方法があります。

コンテンツフィルタリングシステムの性能は、脅威インテリジェンスの品質に左右されます。最新のフィルタリングプラットフォームは、複数のインテリジェンスフィードを利用します。具体的には、悪意のあるIOCを精選した商用フィード（FireEye、Recorded Future、ThreatConnect）、オープンソースフィード（AlienVault OTX、abuse.ch、Emerging Threats）、過去のインシデントに基づく組織独自のフィードです。インテリジェンスフィードのIOC（悪意のあるドメイン、IPアドレス、URL、ファイルハッシュ）は、検出から数分以内にフィルタリングポリシーへ自動的に反映されます。これにより、ベンダーのデータベース更新を待たずに、新たに発見された脅威からほぼリアルタイムで保護できます。

Webフィルタリングは、サイト全体のブロックにとどまりません。検索エンジン（Google、Bing）に対するセーフサーチの強制では、すべてのクエリにセーフサーチ用パラメーターを追加し、検索エンジン全体をブロックすることなく、露骨な内容を含む検索結果を除外します。YouTubeの制限付きモードは、DNS CNAMEのリマッピングによって強制できます。ソーシャルメディアは業務利用を許可しながら、プロキシのアプリケーション層フィルタリングによって、特定のソーシャルメディアアプリケーションのアップロードやダウンロードをブロックできます。このようなきめ細かな制御により、組織は一律のブロック／許可という二択にせず、業務利用とポリシー適用のバランスを取れます。

Webフィルタリングによって生成される詳細なテレメトリは、セキュリティ運用に活用できます。監視すべきレポートには、ユーザーおよびデバイスごとのマルウェアカテゴリへのアクセス件数（侵害の可能性を示します）、C2へのコールバック試行（直ちに調査が必要です）、ポリシーバイパスの試行（匿名化サービスやVPNの利用パターン）、データ持ち出しのリスク（個人用クラウドストレージへの大量アップロード）があります。信頼度の高い悪意のあるカテゴリへのアクセスに関するアラートは、SIEMやチケット管理システムと連携し、自動調査のワークフローを開始できるようにします。経営陣への定期的なレポートによって、Web層でブロックした脅威の量を示せます。

Webフィルタリングは、ネットワーク層（プロキシ、DNSリゾルバー）またはエンドポイント層（デバイスにインストールしたエージェント）に適用できます。ネットワークベースのフィルタリングは、デバイスごとのインストールなしにすべてのデバイスを保護できますが、ユーザーがVPN外にいる場合は機能しません。エンドポイントエージェントは、デバイス上でローカルにフィルターを実行し、ポリシー更新用のテレメトリをクラウドに送信することで、リモートユーザーにもフィルタリングを拡張します。ハイブリッドモデルでは、オンプレミスのトラフィックにはネットワークフィルタリングを、リモートワーカーにはエンドポイントエージェントを使用します。DNSベースのクラウドフィルタリング（Cisco Umbrella）は、デバイスがどこに移動しても企業のリゾルバーを追従させることで、ほぼすべての環境をカバーできます。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認します。

このレッスンでは、URLフィルタリングプロキシがWebリクエストをカテゴリ分類済みデータベースと照合し、悪意のあるサイトやポリシー違反サイトをブロックすること、DNSシンクホールが既知の悪意のあるドメインに偽のIPアドレスを返し、記録されたコールバック試行を通じて感染ホストを特定すること、そしてDoHによるバイパスがDNSベースのフィルタリングに対する重大な脅威であり、グループポリシー、ファイアウォールルール、または透過プロキシによる対策が必要であることを学びました。次は、SSL/TLSインスペクションとman-in-the-browser攻撃について学びます。