NIST最新DNSセキュリティガイドが示す「5つの最重要ポイント」
——————————————————————————————————
本稿は、2026年 3月 19日（US時間）に Infoblox 公式ブログに投稿された「The Top 5 Takeaways from the New DNS Security Best Practices Guidance from NIST SP 800-81」の抄訳です。
投稿者：Craig Sanderson（クレイグ・サンダーソン）
——————————————————————————————————
長年にわたり、DNSは目立たない存在でした—静かに役目を果たす一方で、本来受けるべきセキュリティ上の注目をほとんど集めてきませんでした。しかし状況は変わりつつあります。2026年3月、米国国立標準技術研究所（NIST）は、今日の脅威情勢と運用の現実に合わせたDNSセキュリティガイダンスである特別刊行物（SP）800-81「DNSセキュリティのベストプラクティス」*1を発表しました。今回の改訂は、DNSがサイバーセキュリティ上の盲点（英語では「vulnerability/脆弱性」と表現）であると同時に、強力なセキュリティコントロールでもあるという認識の高まりを反映しており、すでに政策にも影響を与えています。
サイバーリスクが高まり、規制当局が対応する中で、SP 800-81は安全でレジリエントなDNS基盤を構築するための重要なリファレンスとして浮上しています。新しいガイダンスの上位5つのポイントを紹介します。
1. DNSSECだけではない
2013年に公表された前回版のDNSセキュリティ実践ガイダンスは、主にDNSゾーンの転送を保護するための一連の拡張機能であるDNSSEC（Domain Name System Security Extensions）に焦点を当てていました。DNSSECはいまでも重要な役割を担いますが、更新されたNISTのガイダンスは、次の3つの中核的な柱を中心に、より広範なベストプラクティスへと焦点を拡大しました。
- DNSインフラの保護
- DNSシステムと設定の完全性の確保
- サイバーセキュリティコントロールとしてのプロテクティブDNSの実装
新しいガイダンスは、DNSに関連するリスクを減らし、防御のためのツールとしてDNSを活用するための、より完全な青写真を提示します。コンプライアンス要件が高まる中で、SP 800-81の登場はまさに好機です。欧州連合のNIS2指令*2に含まれたことは、その影響力の高まりを示す明確なサインです。
2. DNSはサイバーレジリエンスの重要構成要素
各国政府は、国家安全保障上の要請としてサイバーレジリエンスを確保するための法整備や政策策定を積極的に進めています。しかし、技術的なガイダンスの多くは依然として曖昧であり、DNSは見落とされるか、当然にカバーされているとみなされがちです。実際には、多くの重要インフラ組織が、Microsoft Active Directoryのような不可欠なサービスと重要サービスを同居させており、現行の政策では対処しきれない複雑な相互依存関係が生まれています。このギャップを埋めるため、Infobloxは政策立案者との連携を続け、真にレジリエントなシステムを構築する基盤として、NISTのDNSベストプラクティスの採用を提唱しています。
3. DNSは重大なサイバーセキュリティリスク
攻撃者はDNSが大好きです。なぜか？常に利用可能で、常に信頼され、そしてサイバーセキュリティ運用チームからはほとんど無視されがちだからです。
Infoblox Threat Intelの調査では、マルウェアのサプライチェーン内での役割に応じて戦術が異なる、数千の脅威アクタークラスターを追跡しています。たとえばHazy HawkやHorrid Hawkのように、設定不備のDNSドメインを悪用して乗っ取り、マルウェアキャンペーンに流用するグループもあります。Loopy Lizardのように、信頼された組織に酷似したドメインを登録して、フィッシングの成功率を高めるグループもいます。
これらは、弱体化した、あるいは管理されていないDNSインフラが現実のリスクを生む一例にすぎません。更新版のNIST SP 800-81ガイダンスは、lame delegationのような脅威を含め、こうした脆弱性に直接対処し、先回りしたDNSセキュリティの必要性を強調しています。
4. サイバーセキュリティコントロールとしてのDNS
プロテクティブDNS（脅威インテリジェンスでDNSサーバーを拡張し、既知の悪性ドメインへの問い合わせを遮断する仕組み）は、2010年からDNSの標準の一部となっています。米国や英国などの政府はこのアプローチを受け入れ、早くも2017年にはこの用語を定着させました。それにもかかわらず、多くの組織はいまだにDNSを能動的なサイバーセキュリティコントロールとして十分に活用できていません。
NIST SP 800-81は、プロテクティブDNSの価値だけでなく、インシデント対応におけるDNSのより広範な役割も強調しています。DNSのクエリおよびレスポンスデータは豊富なテレメトリを提供し、どのデバイスがいつどのようにアクセスしようとしたかの信頼できる監査証跡となります。サイバーセキュリティインシデント発生後には、このデータがイベントの相関付け、露出状況の把握、対応の加速に不可欠となります。
5. DNSの機密性
DNSに機密性がないことは、ネットワークにおける長年の特異点でした。いまや大半のWebトラフィックは暗号化されていますが、DNSリクエストは伝統的に平文のままで、他は安全な通信スタックにおける例外になっていました。
この課題に対処するため、IETF（Internet Engineering Task Force）はDNS over TLS（DoT）やDNS over HTTPS（DoH）など、複数のDNS暗号化標準を策定しました。米国政府は連邦機関に対し、DNS暗号化の使用を義務付けてもいます。
更新されたNISTのベストプラクティスにDNS暗号化が正式に取り込まれたことは歓迎すべき進展です。とはいえ、これはユーザートラフィックの暗号化だけの話ではありません。ガイダンスでは、セキュリティコントロールをバイパスしようとする不正なDNS暗号化リクエストの検知と遮断の必要性にも言及し、さらに、暗号化トラフィックの追加処理負荷に対応できるよう、DNSインフラの適切なキャパシティ確保を求めています。
ガイダンスを行動に移す
改訂版のNIST SP 800-81ガイダンスは、サイバーセキュリティ戦略におけるDNSの見方と管理方法において重要な転換点を示しています。DNSをリスクであると同時に強力な制御点と捉えることで、組織はより高いレジリエンスに向けた明確で実行可能な道筋を得られます。脅威が進化し規制が厳格化する中で、これらのベストプラクティスに整合させることは賢明であるだけでなく、不可欠です。
どこから始めればよいか分からない場合は？
まず現状を把握しましょう。Infoblox Inspect – Security を使えば、実証済みのセキュリティベストプラクティスに対してDNS環境を迅速にベンチマークし、潜在的なリスクを明らかにできます。
その上で、当社の専門家が知見を行動に移すお手伝いをします—構造化された是正計画を通じて、ギャップを塞ぎ、防御を強化するプロセスをガイドします。
また、持続的な効果を確実にするために、Infoblox Security Workshopsも提供しています。これらは、組織全体でDNSセキュリティを運用化するために必要な実践的知識と原則をチームに提供します。
評価し、改善し、運用化する。今日からDNSセキュリティの取り組みを始めましょう。
参考文献
1. NIST Special Publication 800-81r3 Secure Domain Name System (DNS) Deployment Guide, Rose, Scott, Liu, Cricket, Gibson, Ross, National Institute of Standards and Technology (NIST), 2026年3月。
2. NIS2 Directive Technical Implementation Guidance, European Union Agency for Cybersecurity (ENISA), 2025年6月。
