--- title: "IPS用のDNSの保護をカスタマイズする" slug: "customizing-the-dns-protections-for-ips" updated: 2026-11-07T00:08:31Z published: 2026-11-07T00:08:31Z canonical: "knowledge.catonetworks.com/customizing-the-dns-protections-for-ips" --- > ## Documentation Index > Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt > Use this file to discover all available pages before exploring further. # IPS用のDNSの保護をカスタマイズする この記事では、アカウントがIPSサービスの一部としてどのDNSの保護を実施するかを選択する方法について説明します。 ## DNSの保護の概要 CatoのDNS保護はIPSサービスを強化し、アカウント内のDNSトラフィックのセキュリティレベルをきめ細かに制御します。 DNSの保護は、[Cato DNSサーバー](/v1/docs/what-is-cato-dns)やその他のDNSサーバーに送信されたDNSリクエストをCatoクラウド上で検査することができます。しかし、適用される保護は、DNSトラフィックが内部であるかインターネット向けであるかに依存します。詳細は以下で説明します。 Catoは継続的にDNSドメインとカテゴリを更新し、DNS保護ページに新しいタイプの保護を追加します。 DNSの保護は、ホストと悪意のあるサーバー間に接続が確立される前にDNSリクエストをブロックすることで強力なセキュリティを提供します（TCPまたはUDPのハンドシェイクはありません）。 DNSの保護が無効になっている場合でも、IPSサービスはDNSの脅威に対する一部の保護を提供します。しかし、それはDNSの保護でカバーされているすべての脅威をカバーしているわけではなく、宛先にアクセスされた後の段階でブロックされます。したがって、IPSとDNSの保護の両方を有効化することをベストプラクティスとして推奨します。 [脅威カタログ](/v1/docs/using-the-threat-catalog)を使用して、基本的なIPSサービスに含まれているDNSの保護や、DNSの保護に含まれているものを確認することができます。 ### DNSの保護の範囲を理解する DNSの保護は、ドメインの評判や登録年数などのセキュリティフィードデータを使用するルールを評価し、インターネット向けのDNSリクエストおよびCato DNSサーバーへのリクエストに適用します。誤検知を制限するために、セキュリティフィードはアカウント内の内部エンティティ、例えばホストや同一または別サイトのプライベートDNSサーバー間のDNSトラフィックに対しては使用されません。**新規登録ドメイン**を含むフィードデータを必要とするルールは、このトラフィックに対して評価されません。一致した場合、その他のDNSの保護ルールの評価と施行が続きます。 ### DNSの保護タイプを理解する 特定のDNSの保護を有効化または無効化して、セキュリティ要件に対応させることができます。 - **悪意のあるドメイン**: DNSリクエストを介して悪意のあるコンテンツをホストまたは配布することが確認されたドメインを検出します。これらのリクエストをブロックすることで、ユーザーやデバイスがマルウェア、エクスプロイト、その他の脅威に使用される宛先に接続するのを防ぐことができます。 - **新規登録ドメイン**: 最近登録され、まだ確立された評判を持たないドメインへのDNSリクエストを検出します。攻撃者は新規登録ドメインを短期間のキャンペーン、フィッシング、マルウェア配信、コマンドおよびコントロール活動に利用することがよくあります。 - DNSの保護がリスクのあるドメインをどの程度積極的に特定してブロックするかを制御するために、最後の7日、14日、21日、30日、または60日に登録されたドメインをブロックするしきい値を設定します。 - **クリプトマイナー**: 暗号通貨のマイニング活動に関連するドメインへのDNSリクエストを検出します。これにより、デバイスのリソースを消費し、パフォーマンスを低下させ、ホストの侵害を示す不正なマイニングソフトウェアを特定してブロックすることができます。 - **コマンドおよびコントロール（C&C）**: マルウェアが攻撃者の制御するインフラストラクチャと通信するために使用するドメインへのDNSリクエストを検出します。この保護には、攻撃者が悪意のあるサーバーを隠蔽し、テイクダウンを困難にするためにDNSレコードを迅速に変更するDNS Fast-Fluxドメインが含まれています。 - **ドメイン生成アルゴリズム**: マルウェアがコマンドおよびコントロールサーバーを見つけるために一般的に使用するアルゴリズムで生成されたドメインへのDNSリクエストを検出します。これらのドメインをブロックすることで、攻撃者が頻繁にアクティブなドメイン名を変更してもマルウェア通信を妨害できます。 - **フィッシング**: 信頼できるWebサイトを偽って資格情報や機密情報を盗むために使用されるドメインへのDNSリクエストを検出します。この保護には、ブラウザ保護を回避して内部リソースにアクセスしようとする悪意のあるドメインによるDNSリバインディング攻撃も含まれます。 - **ダイナミックDNS**: 頻繁に異なるIPアドレスを指すように変更されるダイナミックDNSサービスを使用するドメインへのDNSリクエストを検出します。ダイナミックDNSは正当なものである場合がありますが、攻撃者はしばしば悪意のあるインフラストラクチャを迅速に移動させ、検出を回避するために使用します。 - **DNSトンネリング**: DNSクエリや応答を通じてデータをトンネルしようとするDNSトラフィックを検出します。この保護には、データを徐々に外部に送信し、量に基づく検出を回避する超低速のDNSトンネリング技術も含まれます。 ### DNSシンクホーリング DNSリクエストがブロックされた場合、リクエストがホストからプライベートDNSサーバーやアクセスポイントなどを通過しているため、元のホストのIPアドレスを特定できないことがよくあります。 Catoはこの問題を解決し、悪意のあるDNSリクエストを発行するネットワーク上の感染したホストのIPアドレスを特定するDNSシンクホーリングオプションを提供します。 #### シンクホールイベントの動作はどのように機能しますか？ DNS保護が**シンクホール**のアクションに設定されているとき、DNS保護エンジンは悪意のあるドメインをクエリしているホストに対して偽装された応答を返し、そのクエリを指定されたCatoシンクホールサーバーのIPアドレスに解決します。 Catoは、(例: 10.254.x.x) のCato[システム範囲](/v1/docs/working-with-the-cato-system-range)にIPアドレスをホストにプッシュします。ホストはそのIPアドレスにインターネット経由で直接接続しようとし、IPSサービスはホストのIPアドレスを特定します。サービスはトラフィックをブロックし、イベントログの**送信元IP**としてホストのIPアドレスを報告します。 #### シンクホールイベントを理解する **シンクホール**アクションが実行されると、2つのイベントが生成されます。最初のイベントは、ホストが悪意のある宛先を最初にクエリしたときに実行された**シンクホール**アクションを報告します。**送信元IPアドレス**フィールドはクライアントホストのアドレスを反映しない場合があります。 2つ目のイベントは、ホストがシンクホールサーバーに接続しようとしたときにDNSリクエストがブロックされたことを報告し、イベントのアクションも**シンクホール**です。この2つ目のイベントは、**送信元IPアドレス**フィールドで実際のホストIPアドレスを報告します。これにより、[イベント](/v1/docs/analyzing-events-in-your-network)ページをフィルタリングして、シンクホールサーバーIPアドレスに接続するすべてのトラフィックのイベントを表示することで、ネットワーク上の感染したホストを簡単に特定できます。 DNS保護イベントについて詳しくは、下記の[DNS保護イベントの分析](/v1/docs/customizing-the-dns-protections-for-ips#h_01KV2WBRCC9QNQCGV7XX311M5X)をご覧ください。 #### ブロックおよびシンクホールアクションのエンドユーザーエクスペリエンス IPSエンジンがDNSリクエストをブロックすると、エンドユーザーがDNS応答を受信する前にドメインへの接続が切断されます。 DNSリクエストがシンクホールされると、エンドユーザーはDNS応答を受信し、ホストがシンクホールサーバーに接続を試みた際に接続が切断されます。 ### 前提条件 - DNSの保護はIPSライセンスに含まれています。 IPSライセンスの購入については、Catoの担当者にお問い合わせください。 ### 悪意のあるドメインのサンプルワークフロー この例では、ホストが悪意のあるドメインにアクセスしようとし、Cato DNSサーバーまたはインターネットDNSサーバーにDNSリクエストを送信した場合の**悪意のあるドメイン**DNS保護のワークフローを示しています。 1. ホストデバイスがブラウザーから悪意のあるドメインにアクセスしようとします。 2. IPSエンジンは悪意のあるドメインへのDNSリクエストがあることを識別し、DNSリクエストをブロックします。 3. ホストと悪意のあるサーバーが接続する前に、DNSリクエストはブロックされます（TCPまたはUDPハンドシェイクなし）。 ## アカウントのDNS保護の定義 **DNSの保護**ページを使用して、IPSエンジンがアカウントに対して強制するDNS保護のタイプを選択します。 DNSの保護が有効になると、IPSエンジンはCato Cloudを介して送信されるDNSリクエストを、プライベートDNSサーバーへのリクエストを含めて検査します。 各DNS保護について、以下のアクションのいずれかを設定できます： - **許可** - IPSエンジンは保護を強制しませんが、トラフィックを監視するためのイベントが生成されます。 - **ブロック** - IPSエンジンは保護に一致するトラフィックのDNSリクエストをブロックし、イベントが生成されます。 - **シンクホール** - 最初にDNSリクエストがシンクホールサーバーに送られ、次にサーバーへの接続を試みるトラフィックがブロックされます。シンクホールアクションの各フェーズで別のイベントが生成されます。詳細については、上記の[DNSシンクホール化](/v1/docs/customizing-the-dns-protections-for-ips#h_01KV2WBRCCH3FW8A6PB365SCAX)を参照してください。 **DNS保護のデフォルト設定** Cato Security チームは、組織の正当なトラフィックに影響を与える可能性に基づいて各DNS保護のデフォルトアクションを定義します。 - デフォルトのブロックアクション - デフォルトでブロックアクションが割り当てられている保護は、通常、偽陽性が少なく、正当なトラフィックに影響を与えません。これらのDNS保護をデフォルトのブロックアクションのままにしておくことをお勧めします。 - デフォルトの許可アクション - デフォルトで許可アクションが割り当てられている保護は、偽陽性を生成する可能性があり、組織の正当なトラフィックをブロックする可能性があります。これらの保護を**ブロック**アクションに変更する前に、最初に**許可**アクションで数週間実行し、偽陽性を監視するためにイベントを確認することをお勧めします。 ![DNS保護ポリシー.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/35722815105565(1).png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A13%3A22Z&se=2026-11-10T18%3A13%3A22Z&sr=c&sp=r&sig=To21mHxIswQFGeE7SEfyK5mFzi7Ic%2BsXWrl9ZWG2SFA%3D) **アカウントのDNS保護を定義するには：** 1. ナビゲーションペインから**セキュリティ > DNS保護**を選択します。 2. スライダーをクリックして、アカウントの**DNS保護**ポリシーを有効（緑）または無効（灰色）にします。 3. DNS保護タイプをカスタマイズするには、その行で**アクション**または**トラック**をクリックします。 そのDNS保護タイプのパネルが開きます。 1. **アクション**セクションで、保護に一致するDNSトラフィックを**許可**、**ブロック**、または**シンクホール**するかを選択します。 注: 新しい登録ドメインにアクションを設定した場合、最後の14、21、または30日以内に登録されたドメインをブロックするしきい値を設定します。 2. **トラック**セクションで、DNSトラフィックが保護に一致する場合に[メール通知を送信する](/v1/docs/account-level-alerts-and-system-notifications)かどうかを選択します。 4. **適用**をクリックし、次に**保存**をクリックします。 ## DNSトラフィックの許可リスト登録 IPSページでIPS許可リストルールを作成して例外を定義し、特定のDNS保護署名を持つDNSトラフィックを許可するか、ブロックイベントログからDNS保護署名を許可リスト登録できます。 IPS許可リストルールの作成について詳しくは、[IPS署名の許可リスト登録](/v1/docs/allowlisting-ips-signatures)を参照してください。 特定の信頼されたドメイン名をIPS許可リストに登録して、DNS保護スキャンから除外することもできます。 **特定のドメイン名を許可リスト登録するには：** 1. ナビゲーションメニューから**セキュリティ > IPS**をクリックします。 2. **新規**をクリックします。**新しい許可リスト**パネルが開きます。 3. ルールの**名前**を入力します。 4. ルールの**スコープ**を次のように選択します： - デフォルトのCato DNSサーバーまたはプライベートDNSサーバーを使用するよう設定されたトラフィックに対して、**WAN**を選択します。 - パブリックDNSサーバーを使用するよう設定されたトラフィックに対して、**アウトバウンド**を選択します。 5. **宛先**でドメインを選択し、必要なドメイン名を追加します。 6. **適用**をクリックします。 IPS許可リストルールがルールベースに追加されます。 7. **保存**をクリックします。 ## 脅威ダッシュボードでDNS保護をモニタリング [脅威ダッシュボード](/v1/docs/using-the-security-threats-dashboard)には、アカウントのDNS保護の状態を監視するのに役立つ次の3つのウィジェットが含まれています： - **脅威の種類** - DNSカテゴリのタイプ名と各タイプのイベント数を表示します - **トップドメイン** - ブロックされたトップドメインのリストと各ドメインのDNS保護イベント数を表示します - **トップホスト** - 各ホスト（送信元IPアドレス）のDNS保護イベント数とともにトップホストのリストを表示します ![脅威ダッシュボード_-_DNS.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/35722837854749(1).png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A13%3A22Z&se=2026-11-10T18%3A13%3A22Z&sr=c&sp=r&sig=To21mHxIswQFGeE7SEfyK5mFzi7Ic%2BsXWrl9ZWG2SFA%3D) ## DNS保護イベントの分析 **ホーム > イベント**ページには、アカウントのすべてのDNS保護イベントが表示されます。強力な検索ツールを使用して、関連するデータを含むキーイベントを詳細に調査して識別できます。 DNS保護イベントは、以下のフィールドで特定できます： - イベントタイプ - セキュリティ - サブタイプ - DNS保護 - DNS保護カテゴリ - DNSリクエストに一致したCatoのDNS保護タイプ - DNSクエリ - DNSリクエストでクエリされたドメイン イベントページの使用方法については[こちら](/v1/docs/analyzing-events-in-your-network)をご覧ください。イベントをフィルタするために**DNS保護**プリセットを使用できます。