DNS：ドメインがIPに解決される仕組み

Domain Name System（DNS）は、インターネットの電話帳です。google.comのような人間が読みやすいドメイン名を、コンピューターがトラフィックのルーティングに使用する142.250.80.46のようなIPアドレスに変換します。

URLを入力すると、ブラウザーはDNSに問い合わせます:

1. ローカルキャッシュを確認します（高速）
2. ローカルリゾルバーに問い合わせます（通常はルーターまたはISPです）
3. リゾルバーがルートネームサーバーにTLDの権威を問い合わせます
4. TLDネームサーバー（例: .com）にドメインの権威を問い合わせます
5. 権威ネームサーバーに実際のレコードを問い合わせます
6. IPアドレスが返され、キャッシュされます

一般的なDNSレコードの種類:

• A — ドメインをIPv4アドレスに対応付けます
• AAAA — ドメインをIPv6アドレスに対応付けます
• CNAME — 別のドメインを指すエイリアスです
• MX — ドメインのメールサーバーです
• TXT — 任意のテキストです（SPF、DKIM、検証などに使用）
• NS — ドメインのネームサーバーです

各DNSレコードには、秒単位のTTL（time-to-live）値があります。いったんキャッシュされると、リゾルバーはTTLが期限切れになるまでキャッシュされた値を使用し、その後に再度問い合わせます。移行前にTTLを短くすると、伝播遅延を抑えられます。

セキュリティ専門家は、組織のインフラストラクチャを把握するためにDNSレコードを列挙します:

DNSゾーン転送（AXFR）は、ネームサーバーからすべてのレコードをコピーします。バックアップには便利ですが、全員に公開されていると危険です。設定を誤ったネームサーバーによって、組織の内部DNS全体が明らかになる可能性があります。

キャッシュポイズニングは、偽のDNSレコードをリゾルバーのキャッシュに注入し、ユーザーを攻撃者が制御するサーバーへ誘導します。DNSSEC（DNS Security Extensions）は、暗号署名を使用してこれを防ぎます。

従来のDNSではクエリが平文で送信されるため、ネットワーク上の誰でも、アクセスしたドメインを確認できます。DoHとDoTはDNSクエリを暗号化し、監視やDNSトラフィックの中間者による傍受を防ぎます。

DNSトンネリングは、DNSクエリや応答の中にデータを埋め込んで、データを外部へ持ち出したり、DNSトラフィックを許可するファイアウォールを通じてC2通信を維持したりする手法です。セキュリティチームは、異常に長いDNSクエリや大量のクエリを兆候として監視します。

組織ではスプリットホライズンDNSを運用します。内部DNSは内部サービスのプライベートアドレスを解決し、外部DNSは外部公開用のエントリだけを提供します。これにより、外部からのクエリに対して内部トポロジが公開されるのを防ぎます。

基本的なDNSツール:

DNSは、ルート、TLD、権威ネームサーバーが関与する階層的な名前解決プロセスを通じて、ドメイン名をIPアドレスに変換します。主なレコードの種類には、A、AAAA、MX、CNAME、TXTがあります。セキュリティ上の懸念には、キャッシュポイズニング、ゾーン転送の公開、DNSトンネリングなどがあります。DoHとDoTはDNSを暗号化してプライバシーを保護します。