ダングリングDNSとは？
ダングリングDNSを理解するには、DNSの基本を理解する必要があります。DNSは、覚えやすく認識しやすいpaloaltonetworks.comなどのユーザーフレンドリーなドメイン名を、数値のIPアドレスに変換するプロトコルです。各ドメインのIPアドレスは、インターネットの電話帳のような役割を果たす権威DNSサーバーに保存されています。ブラウザにウェブサイトのアドレスを入力すると、ブラウザはまず再帰DNSサーバーに接続し、"paloaltonetworks.comのIPアドレスは？"と質問します。再帰DNSサーバーは、権威サーバーにクエリを送信して回答を求めます。
CNAMEとは
DNS権威サーバーに保存されるレコードの一般的なタイプは、権威の開始（SOA）、IPアドレス、ネームサーバー（NS）、DNS逆引き用ポインタ（PTR）、およびカノニカルネームレコード（CNAME）です。
CNAMEはDNSデータベースレコードの一種で、他のドメインのエイリアスとして機能し、IPアドレスの代わりにドメインを指します。CNAMEレコードは通常、同じ組織が所有する重大度ウェブサイトをプライマリウェブサイトにポイントしたり、異なる国間で同じドメインを登録し、各ドメインが親ドメインをポイントしたりするために使用されます。
supercompany[.]comというドメインを持つあなたの会社が、新しいサービスや製品を立ち上げ、superproduct[.]supercomany[.]comという新しいサブドメイン名を作成したとします。このサブドメインが誰もが認識する親ドメインのエイリアスとして設定されている場合、superproduct[.]supercomany[.]comというサブドメインは、supercompany[.]comを指すCNAMEレコードを持つことになります。
ぶら下がりDNS
DNSレコードはドメイン名を他のドメインに指し示しますが、ドメインが放棄されると、そのDNSレコードはぶら下がったままになります。放置されているため、このドメインは脅威アクターに簡単に乗っ取られ、ネットワークへの初期アクセスに利用されます。攻撃者は、フィッシングやその他のソーシャルエンジニアリング攻撃に、このダングリングDNSのテクニックをよく使用します。例えば、superproduct.supercomany.comがsuperproduct.comのような別のドメイン、またはcompute1234.amazonaws.comのような外部のホスト名やIPを指していて、会社がsuperproduct.comという名前やそれをホストしているコンピュートノードから移動しても、CNAME superproduct.supercomany.comが期限切れのドメインや外部のホスト名やIPを指していることを忘れたとします。これにより、メインドメインのsupercomany.comは、攻撃者が悪意のあるサイトをホストするのに最適な場所となりました。ハッカーは、superproduct.supercomany.comが記載されたSSL証明書をインストールし、会社の評判を犠牲にして悪意のあるコンテンツを配信することができます。
Palo Alto NetworksのDNSセキュリティについては、 https://www.paloaltonetworks.jp/network-security/advanced-dns-security。Dangling DNSの詳細については、当社のブログ「 Dangling Domains」をご覧ください：セキュリティ脅威、検知、蔓延。
ぶら下がりDNS FAQ
