パッシブ DNS.

パッシブ DNS(pDNS)は、再帰リゾルバのすぐ上流に置かれたセンサーが、リゾルバの受け取った応答を記録することで構築されます。センサー自身が権威サーバーに問い合わせることはありません。この技術は Florian Weimer が 2005 年の論文『Passive DNS Replication』で提唱し、FIRST カンファレンスで発表したもので、彼のシステムはリゾルバの応答をログに取り、クエリ可能な中央データベースに複製しました。センサーは通常、リゾルバ上流のサーバー間(キャッシュミス)トラフィックのみを捕捉するため、個々のエンドユーザーのスタブクエリを記録することを避けられます。

Farsight DNSDB(現在は DomainTools 傘下)、VirusTotal、SecurityTrails、CIRCL などのデータセットから、ドメインを起点に過去の IP、兄弟ドメイン、ネームサーバー、first-seen/last-seen タイムスタンプへピボットできます。多くは IETF の共通出力フォーマット(COF、draft-dulaunoy-dnsop-passive-dns-cof)でレコードを提供し、ベンダー間で結果を相互運用できます。脅威ハンティング、悪性インフラのマッピング、テイクダウン、fast-flux や DGA の追跡で中核となるリソースで、たとえばフィッシングドメインがキャンペーン開始の数時間前に初めて解決したことの確認に使えます。pDNS は実際に観測された内容しか記録しないため、WHOIS や Certificate Transparency、能動スキャンを補完し、観測対象のドメイン運用者に対して非侵襲的です。

flowchart LR
  C[クライアント] --> R[再帰リゾルバ]
  R -->|キャッシュミス問い合わせ| AUTH[権威サーバー]
  S[pDNS センサー] -. 応答を観測 .-> R
  S --> DB[(パッシブ DNS データベース)]
  AN[アナリスト] -->|ドメイン / IP でピボット| DB
  DB -->|過去の解決記録| AN