NIST SP 800-81の新ドラフト公開

———————————————————————————————————————
本稿は、2025年 4月 10日（US時間）に Infoblox公式ブログに投稿された「And There Was Much Rejoicing: New Draft of NIST SP 800-81 Released」の抄訳です。
 
投稿者：クリケット・リュー（Cricket Liu）
———————————————————————————————————————

4月10日、米国の国立標準技術研究所（NIST）は、「セキュアなドメインネームシステム（DNS）導入ガイド」の新バージョンのドラフトを公開しました。これは略してNIST SP 800-81と呼ばれています。「800-81」は、2006年5月の初版発行以来、米連邦政府内外のDNS管理者にとって不可欠な文書となってきました。その後、2010年4月と2013年9月の2度にわたり更新されています。各バージョンは、DNSコミュニティに必要な指針を提供してきました。実際、この文書は非常に有用であるため、欧州の「改正ネットワークおよび情報セキュリティ指令（NIS2）」など、米国外のいくつかの規制でも参照されています。

しかし、当然のことながら、最新版が10年以上前のものであることを考えると、いくつかの重要な機能に関する記述が欠けています。特に、暗号化DNSやプロテクティブDNSについての言及がありません。

暗号化DNSは、DNSにおける長年の課題であった「ラストマイル」の脆弱性に対処します。スタブリゾルバー（ほぼすべてのインターネット接続デバイスに存在するDNSのクライアント部分）と、それが問い合わせる再帰DNSサーバー間の通信のほとんどは、暗号化されずに送信されます。これは、トラフィックが盗聴とスプーフィング（なりすまし）の両方の危険にさらされていることを意味します。暗号化DNSは、確立されたいくつかのメカニズムのいずれかを使用してその通信を暗号化し、スタブリゾルバーと再帰DNSサーバー間のトラフィックのプライバシーを保護し、スプーフィングを防ぎます。

プロテクティブDNSは、さらに有用な進展と言えるでしょう。長年、DNSサーバーは、フィッシングメール、マルウェア、不正なウェブサイト、その他多くの有害なコンテキストで使用されるドメイン名を解決することで、意図せずしてインターネット上の悪意のある活動を助長してきました。

プロテクティブDNSにより、DNSサーバーは悪意のあるドメイン名とそうでないものを区別し、悪意のあるドメイン名への問い合わせに対して否定的な応答（例：NXDOMAIN、「そのドメイン名は存在しない」という意味）を返すことができるようになります。これにより、フィッシングキャンペーンの成功を防ぎ、マルウェアがコマンド＆コントロール（C&C）インフラストラクチャと通信するのをブロックし、ユーザーが誤って不正なウェブサイトにアクセスするのを防ぐなど、多くの効果が期待できます。そして、この保護はほぼ普遍的です。なぜなら、インターネットに接続されたほぼすべてのデバイスやワークロードが、ほぼすべてのネットワークトランザクションを仲介するためにDNS（名前解決）に依存しているからです。

新しい800-81のドラフトでは、プロテクティブDNSをネットワークセキュリティの基盤レイヤーであり、多層防御やゼロトラストセキュリティフレームワークの重要な一部であると認識し、組織がプロテクティブDNSをセキュリティ戦略に組み込むことを推奨しています。

Infobloxでは、DNSが基本的なセキュリティ管理策であるという認識への世界的な移行が進んでいると考えています。欧州連合（EU）の規制ではすでにプロテクティブDNSが義務付けられており、他の法域でも同様の要件が間もなく制定されると予想しています。それも、800-81にプロテクティブDNSが含まれたことを当社が大変嬉しく思っている理由の一つです。

本日4月10日は、コメント募集期間の開始日であり、この期間は5月26日まで続く予定です。ぜひ800-81のコピーをダウンロードして内容をご確認いただき、コメント募集期間が終了する前にNISTにご意見をお寄せください。