2015年2月2日以降、eo光、DTI、VALUE DOMAINのDNSサーバーにおいて障害が発生しました。ここではその関連情報をまとめます。なお、各事象の関連性について確証となる情報はpiyokangoが確認できておらず、DNS水責め攻撃の関連は推測です。（似たような障害が重なっただけといった可能性もあります。）
DNSサーバー障害が起こった組織
- piyokangoが確認した範囲では次の3社のDNSサーバーで障害発生。
(1) eo光
- ２０１５年２月１日 ＤＮＳサーバー設備障害復旧のお知らせとお詫びについて（修正報）
- 障害原因：アクセス数増加（DDoS攻撃）による過負荷 → サーバー設備障害にその後修正
- 障害発生期間：2015年2月1日 22時45分 〜 2015年2月2日 0時22分
- 障害による影響：ユーザーがWeb閲覧やメール等のサービスを利用できない場合があった。
(2) DTI
- DNSサーバ障害発生/復旧のお知らせ
- 障害原因：外部からの攻撃
- 障害発生期間：2015年2月3日 13時 〜 15時24分
- 障害による影響：ユーザーがWeb閲覧やメール等のサービスを利用できない場合があった。
タイムライン
| 日付 | 出来事 |
|---|---|
| 2015年2月1日 22時45分頃 | eo光のDNSサーバーで障害発生。 |
| 2015年2月2日 0時22分 | eo光のDNSサーバーの障害復旧。 |
| 2015年2月3日 12時47分 | VALUE DOMAINがDNSサーバーへのDoS攻撃が開始される。。 |
| 2015年2月3日 12時50分 | VALUE DOMAINがDoS攻撃への対応を開始。 |
| 2015年2月3日 12時54分 | 大紀元のTwitterアカウントが当該サイトへ攻撃を行わわれていることを発表。 |
| 2015年2月3日 13時頃 | DTIのDNSサーバーで障害発生。 |
| 2015年2月3日 14時頃 | VALUE DOMAINのDNSサーバーで応答遅延が発生し始める。 |
| 2015年2月3日 15時 | VALUE DOMAINがDNSサーバーの暫定復旧を発表。 |
| 2015年2月3日 15時24分頃 | DTIのDNSサーバーの障害復旧。 |
| 2015年2月3日 18時 | VALUE DOMAINがDNSサーバーのの完全復旧を発表。 |
| 2015年2月4日 11時 | 大紀元のTwitterアカウントが当該サイトへ攻撃を行わわれていることを発表。 |
ISPのDNSサーバー障害は特定サイトへのDNS 水責め攻撃に巻き込まれたことが原因？
- @t0r0_twitさんが中国の報道サイト「大紀元」（日本版）「epochtimes.jp」に対して攻撃が行われた可能性を指摘。
- VALUE DOMAINは攻撃を受けているサイトを「某政府に対する不利益なサイト」と表現している。
- 大紀元の発表によれば、攻撃は「昨晩」(2015年2月2日)から行われているとのこと。
- DoS攻撃はDNSだけでなく、Webサーバーに対しても行われていた模様。
大紀元の公式Twitterのアナウンス
【サイバー攻撃被害】大紀元日本は昨晩からサイバー攻撃を受け、閲覧に支障が出ています。現在、スタッフが懸命な復旧作業を行っています。読者の皆様にはご迷惑おかけしますが、今しばらくお待ちください。
— 大紀元日本 EpochTimes JPN (@epochtimes_jp) 2015, 2月 3【サイバー攻撃】大紀元日本へのサーバーへ再度の攻撃があり、閲覧できない状態になっています。読者の皆様には大変申し訳く思っております。
私共には中国の真相を伝える記事を報じ続ける使命があります。この攻撃に屈することはありません。一刻も早い復帰に向け、関係者が作業を進めています。
— 大紀元日本 EpochTimes JPN (@epochtimes_jp) 2015, 2月 4DNS 水責め攻撃とは何か
- JPRSの公開した次の資料 P26以降にDNS水責め攻撃（DNS Water Torture（Slow Drip）攻撃）についての解説がある。
- (PDF) 未熟なDNSと今後どう付き合うべきか委任／移転通知インジェクション攻撃とDNS Water Torture（Slow Drip）攻撃を題材として考える
- JPドメインに対して行われた水責め攻撃の事例としては国内初と@t0r0_twitさん、@OrangeMorishitaさんがコメント。
大紀元のDoS攻撃に関する記事
大紀元グループへのサイバー攻撃は日本時間２日夜に確認された。「閲覧できない」との通報を受けた情報技術者がサーバ管理会社に問い合わせると、アクセス過多により運用停止措置を取られていたという。
http://www.epochtimes.jp/jp/2015/02/html/d74046.html
容赦ない攻撃は翌３日も続いた。複数の企業からサーバを次々と新規に設置するも「トラフィック量が多過ぎる」として各社は運行の継続を拒んだ。
大紀元のNSレコードの変遷
- @t0r0_twitさんの観測によれば攻撃への対応としてネームサーバーで複数の事業者の移動を行っていた模様。なお、2015年2月5日12時現在Googleが設定されている。
| 日付 | ネームサーバーの事業者 |
|---|---|
| 〜 2015年2月3日 14:30頃 | VALUE DOMAIN |
| 2015年2月3日 14:30頃〜19:00頃 | GMOインターネット |
| 2015年2月3日 19:00頃〜2015年2月5日 1時頃 | Amazon |
| 2015年2月5日 1時頃〜 |
更新履歴
- 2015年2月4日 AM 新規作成
- 2015年2月5日 PM 続報追記
- 2015年2月6日 PM 続報追記
