---
title: "DNSアンプ攻撃とは？反射型DDoS攻撃の仕組み【SG試験】"
description: "DNSアンプ攻撃は、DNSキャッシュサーバの応答を攻撃対象へ集める反射型DDoS攻撃です。SG試験で問われるオープンリゾルバ、踏み台化防止、DNSSECとの違いを整理します。 試験対策として重要語の定義・具体例・よくある誤解をまとめ、短時間で復習できるように整理しています。"
last_modified_at: "2026-05-19"
canonical_url: "https://stemtazoo.github.io/sg/dns-amplification-attack/"
section: "sg"
---

## まず結論
- **DNSアンプ攻撃とは、送信元IPアドレスを攻撃対象に偽装し、DNSサーバの大きな応答を攻撃対象へ送らせるDDoS攻撃**です。
- SG試験では、**DNSキャッシュサーバが外部から使える状態になっていないか**を確認します。
- 対策は、**DNSキャッシュサーバとコンテンツサーバを分離し、インターネット側からDNSキャッシュサーバへ問い合わせできないようにすること**です。

DNSアンプ攻撃は、反射型DDoS攻撃の代表例です。

攻撃者が直接大量の通信を送るだけでなく、DNSサーバに応答を返させることで、攻撃対象への通信量を増やします。

試験では、**DNSを止める話ではなく、外部から悪用されるDNSキャッシュサーバを作らない話**として理解すると選択肢を切りやすくなります。

## 直感的な説明
DNSアンプ攻撃は、たとえるなら「差出人を他人の住所にした問い合わせはがき」を大量に送るような攻撃です。

攻撃者は、差出人を攻撃対象に偽って、DNSサーバへ問い合わせを送ります。

DNSサーバは、その問い合わせに対して返事をします。

しかし、返事の宛先は攻撃者ではなく、偽装された攻撃対象です。

攻撃対象から見ると、自分が問い合わせていないのに、いろいろなDNSサーバから大量の応答が届く状態になります。

さらに、DNSでは小さな問い合わせに対して、大きな応答が返る場合があります。

この「小さい要求が大きい応答になる」性質を悪用するため、通信量が増幅されます。

つまり、DNSアンプ攻撃は、**DNSサーバを踏み台にして、攻撃対象へ大量通信を集める攻撃**です。

## 定義・仕組み
DNSアンプ攻撃は、DNSの応答を悪用した反射型DDoS攻撃です。

名前の中にある「アンプ」は、増幅を意味します。

小さな問い合わせに対して大きな応答が返ることで、攻撃対象に届く通信量が増えます。

基本的な流れは次のとおりです。

1. 攻撃者が、送信元IPアドレスを攻撃対象に偽装する
2. ボットなどを使い、DNSサーバへ大量の問い合わせを送る
3. DNSサーバが、偽装された攻撃対象へ応答を返す
4. 多数のDNSサーバから応答が集まる
5. 攻撃対象の回線やサーバが圧迫される

ここで特に問題になるのが、**オープンリゾルバ**です。

オープンリゾルバとは、外部からの再帰的な問い合わせを誰からでも受け付けてしまうDNSキャッシュサーバのことです。

本来、再帰的な問い合わせは、組織内や契約利用者など、限られた範囲に提供するのが基本です。

しかし、インターネット上の誰からでも再帰的な問い合わせを受け付ける状態になっていると、攻撃者に悪用される可能性があります。

JPCERT/CCは、外部からの再帰的な問い合わせを許可しているDNSキャッシュサーバ、つまりオープンリゾルバを使用したDNSアンプ攻撃について注意喚起しています。詳しくは[JPCERT/CCの注意喚起](https://www.jpcert.or.jp/at/2013/at130022.html)を確認できます。

また、JPRSも、オープンリゾルバがDNS Reflector Attacks、つまりDNSリフレクター攻撃に悪用される恐れがあるとして、DNSサーバ管理者へ確認を呼びかけています。

SG試験では、**送信元偽装、オープンリゾルバ、大きな応答、DDoS**のつながりを押さえることが大切です。

## どんな場面で使う？
DNSアンプ攻撃は、DDoS攻撃やDNSサーバの設定不備を理解する場面で出てきます。

特に、次のような場面で問われやすいです。

- DNSサーバがオープンリゾルバになっていないか確認する
- 再帰的な問い合わせを許可する範囲を制限する
- 外部からの不要なDNS問い合わせを制限する
- DNSキャッシュサーバとコンテンツサーバの役割を分ける
- 攻撃の踏み台にされないように運用する

実務では、DNSは名前解決に必要な重要な仕組みです。

そのため、DNSを単純に止めればよいわけではありません。

重要なのは、**必要なDNSサービスは維持しながら、外部から誰でもDNSキャッシュサーバを使える状態を避けること**です。

対策としては、次のようなものがあります。

- DNSキャッシュサーバの再帰的問い合わせを許可する範囲を制限する
- インターネット上の誰からでも再帰問い合わせを受け付けない
- DNSキャッシュサーバとコンテンツサーバを分離する
- 外部公開するDNSサーバと内部向けDNSサーバの役割を分ける
- ルータやファイアウォールで不要なDNS通信を制限する
- 送信元IPアドレスを偽装した通信が外へ出ないようにする

SG試験では、選択肢に「DNSサービスを停止する」と書かれていたら注意です。

DNSは業務に必要な場合が多いため、基本的には停止ではなく、**再帰問い合わせの制限**や**オープンリゾルバ状態の解消**を選びます。

## 試験での切り分け
DNSアンプ攻撃の問題では、選択肢に別のDNS関連技術が混ざりやすいです。

次のように切り分けると判断しやすくなります。

| 選択肢の内容 | 判断 |
|---|---|
| DNSキャッシュサーバを外部から使えないようにする | DNSアンプ攻撃の踏み台化防止 |
| Whoisデータベースで確認する | ドメイン登録情報の確認であり、DDoS対策ではない |
| 複数IPアドレスを割り当てて負荷分散する | 可用性向上の話であり、踏み台化防止ではない |
| デジタル署名でDNS情報の信頼性を確認する | DNSSECの話であり、DNSアンプ攻撃の主対策ではない |

ここで大切なのは、**攻撃対象を守る対策**と**踏み台にされない対策**を分けて考えることです。

DNSアンプ攻撃の踏み台にされることを防ぐなら、見るべきポイントは、**DNSキャッシュサーバが外部から再帰問い合わせを受け付けていないか**です。

## よくある誤解・混同
DNSアンプ攻撃では、次の混同に注意します。

### DNSサーバが攻撃対象だと考える
DNSサーバも悪用される側ではありますが、攻撃の流れでは**踏み台**として使われます。

攻撃対象は、偽装された送信元IPアドレスの持ち主です。

DNSサーバは、攻撃者に利用されて攻撃対象へ応答を送らされます。

### DNSを使うこと自体が危険だと考える
DNSは、Webサイトやメールなどを利用するために必要な仕組みです。

危険なのはDNSそのものではなく、**誰からでも再帰問い合わせを受け付けるオープンリゾルバ状態**です。

### コンテンツサーバとキャッシュサーバを混同する
SG試験では、**コンテンツサーバ**と**DNSキャッシュサーバ**の違いが問われることがあります。

コンテンツサーバは、自分が管理するドメインの情報を外部へ答えるDNSサーバです。

DNSキャッシュサーバは、利用者の代わりに名前解決を行うDNSサーバです。

DNSアンプ攻撃の踏み台化防止では、特に**DNSキャッシュサーバをインターネット側から使えないようにすること**が重要です。

### DNSSECを選んでしまう
DNSSECは、DNS応答の正当性をデジタル署名で確認する仕組みです。

DNS情報の改ざんやなりすまし対策としては重要です。

しかし、DNSアンプ攻撃の踏み台化防止では、まず**再帰問い合わせの制限**を考えます。

「デジタル署名」「信頼性」「改ざん検知」と出てきたらDNSSEC寄りです。

「踏み台」「再帰問い合わせ」「外部から問い合わせできない」と出てきたらDNSアンプ攻撃対策寄りです。

### 負荷分散を選んでしまう
一つのDNSレコードに複数のIPアドレスを割り当てる設定は、アクセスを分散するために使われます。

これは可用性を高める考え方です。

しかし、DNSキャッシュサーバが踏み台にされることを防ぐ対策ではありません。

### UDPを全部止めればよいと考える
DNSは主にUDPを使いますが、UDPをすべて止めると必要な通信にも影響します。

SG試験では、全部止めるよりも、**悪用される設定や公開範囲を制限する対策**を選ぶことが多いです。

## まとめ（試験直前用）
- DNSアンプ攻撃は、DNSサーバの応答を攻撃対象へ集める反射型DDoS攻撃。
- 攻撃者は、送信元IPアドレスを攻撃対象に偽装する。
- オープンリゾルバは、外部からの再帰問い合わせを誰からでも受け付けるため踏み台にされやすい。
- 対策は、DNSキャッシュサーバの再帰問い合わせを制限し、インターネット側から使えないようにすること。
- SG試験では「DNSSEC」「Whois」「負荷分散」ではなく、**キャッシュサーバの外部利用を防ぐ対策かどうか**で判断する。