NIST SP 800-81とは？NISTセキュアDNS導入ガイド最新ドラフトに関するFAQ
———————————————————————————————————————
本稿は、2025年 4月 14日（US時間）に Infoblox公式ブログに投稿された「What Is NIST SP 800-81? A Complete FAQ on The Latest Draft of NIST Secure DNS Deployment Guide」の抄訳です。
投稿者：ジム・モズリー（Jim Mozley）
———————————————————————————————————————
NIST Special Publication 800-81は、安全なドメインネームシステム（DNS）のベストプラクティスを概説する、米国政府による包括的なフレームワークです。このFAQでは、NIST 800-81とは何か、最新のドラフト更新で追加された内容とその重要性、そして組織がそのガイダンスを適用してサイバー防御を強化する方法について解説します。
Q: 800-81r3の目的は何ですか？
A: この文書はNIST SP 800-81の最新ドラフトであり、ネットワークセキュリティの基盤層としてDNSを活用し、ゼロトラストまたは多層防御アプローチの一環として、誤用や設定ミスを軽減するためにDNSを安全に展開するための更新されたガイドラインを提供します。この文書は、2013年に発行された前版以降、ネットワークの保護におけるDNSの役割が変化したことを認識しています。
Q: このガイドの対象読者は誰ですか？
A: このガイドは主に次の2つのグループを対象としています。
サイバーセキュリティ担当役員、意思決定者、組織のポリシー策定者
ネットワーク運用者およびサイバーセキュリティチーム
Q: このバージョンのガイドで新しい点は何ですか？
A: 800-81のこのバージョンでは、ネットワークセキュリティの基盤層としてDNSを活用し、DNSプロトコルとインフラストラクチャを保護して誤用や設定ミスを軽減するためのガイダンスが更新されています。新たに追加された点には、マルウェア、ランサムウェア、データ窃取からの保護、インシデント対応活動やOTおよびIoTセキュリティのサポートにDNSを活用することが含まれます。
Q: 800-81r3はグローバルにどの程度適用可能ですか？
A: NISTは、権威ある標準化団体として世界的に認められています。NISTの出版物は、他の規制当局や標準化団体によって直接的または間接的に広く利用されています。例えば、欧州連合サイバーセキュリティ機関（ENISA）のNIS2実施ガイダンスは800-81を参照しています。言い換えれば、800-81は、DNSサービスプロバイダー、TLDネームレジストリ、クラウドコンピューティングサービスプロバイダー、データセンターサービスプロバイダー、コンテンツデリバリーネットワークプロバイダー、マネージドサービスプロバイダー、マネージドセキュリティサービスプロバイダーなどの重要・基幹組織にとっての一連のベストプラクティスです。グローバルなサイバーセキュリティ機関、その他の組織や企業は、独自のものを開発する代わりに、認められたベストプラクティスとして800-81を指摘し、自社のセキュリティ戦略やポリシー内で800-81の原則を使用することができます。
Q. DNSはサイバーレジリエンスとセキュリティ戦略をどのようにサポートしますか？
A: DNSはネットワーク運用に不可欠であり、セキュリティの基盤層として使用できます。セキュリティポリシーを強制し、悪意のあるドメインへのアクセスを事前にブロックし、デジタルフォレンジックとインシデント対応のための可視性を提供することで、多層防御とゼロトラストの原則をサポートします。
Q: DNS展開に関する主な推奨事項は何ですか？
A: この特別刊行物（SP）800-81の改訂版は、DNSの役割におけるこれらの変化を認識し、ネットワークおよびセキュリティの所有者に対して、以下の高レベルな推奨事項を含む最新のDNS展開に関するガイダンスを提供します。
技術的に可能な限りプロテクティブDNSを採用し、ネットワーク全体の追加的なセキュリティ機能を提供する
可能な限り内部および外部のDNSトラフィックを暗号化する
専用のDNSサーバーを展開して攻撃対象領域を削減する
DNS展開とDNSプロトコルができる限り安全かつ回復力があることを保証するためのすべての技術的ガイダンスに従う
Q: プロテクティブDNSとは何ですか？
A: プロテクティブDNSは、DNSクエリと応答を分析し、脅威を軽減するための措置を講じるセキュリティ機能を強化したDNSです。プロテクティブDNSは、悪意のあるウェブサイトへのアクセスを事前にブロックし、スパイウェアやウイルスを配信しようとするマルウェア、ランサムウェア、フィッシング、その他の攻撃の配信を防ぎます。
プロテクティブDNSを展開する目標には以下が含まれます。
ドメイン名解決の時点で、通常は悪意のある活動が開始される前に、有害なトラフィックをリアルタイムでブロックまたはリダイレクトする
組織のポリシーに準拠しないドメイン名を分類したり、既知の悪意のあるアクターのリストと照合したりすることで、トラフィックのカテゴリをDNSでブロックする
デジタルフォレンジックとインシデント対応を容易にするために、リアルタイムおよび過去のDNSクエリと応答データへの可視性を提供する
多層防御の一環として、より広範なセキュリティエコシステムと統合する（例：組織の資産（デバイス、クラウドワークロードなど）やユーザーに関するデータを、ブロックされたクエリのIPアドレスと関連付ける）
許可されていないサイトへのトラフィックをブロックするための規制上または契約上の要件（例：著作権侵害、法的制限）を遵守する組織の責任を促進する
Q: 暗号化DNSとは何ですか？
A: これは、DNSクライアントと再帰DNSサーバー間のDNSクエリを暗号化するDNS over TLS (DoT) や DNS over HTTPS (DoH) などのプロトコルを指します。
Q: DNSプロトコルを保護するために認証はどのように使用されますか？
A: DNS自体によって提供される公開鍵基盤を使用して、ドメインとレコードに暗号署名することができます。再帰DNSサーバーは、DNS応答が正当なソースからのものであることを検証できます。これは総称してDNS Security Extensions (DNSSEC) と呼ばれます。
Q: DNSハイジーンのベストプラクティスとは何ですか？
A: 攻撃者は、設定ミスや期限切れのドメイン/DNSリゾルバー登録を悪用して、DNSの整合性を著しく侵害する可能性があります。組織は、公開ドメインの整合性を継続的に監視および検証するための堅牢なプロセスを実装し、組織が所有するドメインになりすまそうとする試みの可視性を高めるための措置を講じる必要があります。800-81で引用されている悪用の例には、dangling CNAME、lame delegation、類似ドメインが含まれます。
