[アップデート] Route53 Resolver で DNS クエリをログ出力できるようになりました！

Route53 Resolver で DNS クエリのログ出力がサポートされ、VPC 内の AWS リソースが、どのドメインに接続しているかわかるようになりました。

https://aws.amazon.com/jp/about-aws/whats-new/2020/08/amazon-route-53-resolver-supports-vpc-dns-query-logging/

なにが嬉しいのか

Route 53 Resolver は、VPC 作成時にデフォルトで備わっている DNS サーバー（フォワーダー＋フルサービスリゾルバー）で、VPC 内からパブリック DNS への名前解決をしたり、VPC 内部に閉じた DNS の名前解決を行います。昔から AWS を使われている方には Amazon Provided DNS と表現するほうが馴染み深いかもしれません。

20191016 AWS Black Belt Online Seminar Amazon Route 53 Resolverより抜粋

Route 53 Resolver は、VPC 作成時にデフォルトで備わっている DNS サーバー（フォワーダー＋フルサービスリゾルバー）で、VPC 内からパブリック DNS への名前解決をしたり、VPC 内部に閉じた DNS の名前解決を行います。昔から AWS を使われている方には Amazon Provided DNS と表現するほうが馴染み深いかもしれません。
Route 53 Resolver は、VPC 作成時にデフォルトで備わっている DNS サーバー（フォワーダー＋フルサービスリゾルバー）で、VPC 内からパブリック DNS への名前解決をしたり、VPC 内部に閉じた DNS の名前解決を行います。昔から AWS を使われている方には Amazon Provided DNS と表現するほうが馴染み深いかもしれません。

これまで Route53 のパブリックホストゾーンへ行われるの DNS クエリはログ出力が可能でしたが、VPC 内部から発信される DNS クエリやレスポンスをロギングできませんでした。
アップデートで VPC の DNS クエリをログ出力できるようになったので、セキュリティ強化やコンプライアンス上 DNS クエリの記録取得を求められるケースに対応できるようになったり、また、インシデント調査で役立つことが期待できます。

ログ内容

Route53 リゾルバーのクエリログでは以下が記録されます。

Values that appear in Resolver query logs

ログ出力先

ログ出力先としては、以下のサービスが対応しております。

• Amazon CloudWatch Logs
• Amazon S3
• Kinesis Data Firehose

パブリック DNS のログ出力先では、CloudWatch Logs のみでしたが、Route53 Resolver では S3 がサポートされてコスト面で嬉しいです。
また、Firehose もサポートされているので、他の分析基盤に連携をしやすくなってます。

AWS resources that you can send Resolver query logs to

やってみた

ログ出力設定

Route 53 Resolver のクエリログの記録で、[クエリログの記録を設定]をクリックします。

クエリログ設定の名前を入れます。

クエリログの送信先を設定します。ここでは CloudWatch Logs を送信先にしています。

クエリログを記録する VPC を設定します。[VPC を追加]から VPC を選択して、追加します。

設定が完了しました。

ログ確認

設定した VPC から DNS クエリを投げながらログを確認してみました。
ロググループではクエリ送信元ごとにログストリームがわかれております。

EC2 のプライベートDNSの名前解決

設定した VPC 上の EC2 から、自身のプライベート DNS の名前解決をしてみます。

$ dig +short ip-10-0-1-120.ap-northeast-1.compute.internal
10.0.1.120

{
    "version": "1.000000",
    "account_id": "123412341234",
    "region": "ap-northeast-1",
    "vpc_id": "vpc-0f9264846a994a537",
    "query_timestamp": "2020-08-27T22:49:53Z",
    "query_name": "ip-10-0-1-120.ap-northeast-1.compute.internal.",
    "query_type": "A",
    "query_class": "IN",
    "rcode": "NOERROR",
    "answers":[
        {
            "Rdata": "10.0.1.120",
            "Type": "A",
            "Class": "IN"
        }
  ],
    "srcaddr": "10.0.1.120",
    "srcport": "57163",
    "transport": "UDP",
    "srcids": {
        "instance": "i-036b008ddf436585a"
    }
}

ソース（i-036b008ddf436585a, 10.0.1.120）から、EC2 のプライベート DNS（ip-10-0-1-120.ap-northeast-1.compute.internal）の名前解決を行い、10.0.1.120 が返ってきたことがわかります。

パブリック DNS の名前解決

EC2 上からパブリック DNS を名前解決時のログを確認してみます。

$ dig +short www.amazon.co.jp
tp.4d5ad1d2b-frontier.amazon.co.jp.
dtioykqj1u8de.cloudfront.net.
13.249.160.20

{
    "version": "1.000000",
    "account_id": "123412341234",
    "region": "ap-northeast-1",
    "vpc_id": "vpc-0f9264846a994a537",
    "query_timestamp": "2020-08-27T23:01:06Z",
    "query_name": "www.amazon.co.jp.",
    "query_type": "A",
    "query_class": "IN",
    "rcode": "NOERROR",
    "answers":[
        {
            "Rdata": "tp.4d5ad1d2b-frontier.amazon.co.jp.",
            "Type": "CNAME",
            "Class": "IN"
        },
        {
            "Rdata": "dtioykqj1u8de.cloudfront.net.",
            "Type": "CNAME",
            "Class": "IN"
        },
        {
            "Rdata": "13.249.160.20",
            "Type": "A",
            "Class": "IN"
        }
 ],
    "srcaddr": "10.0.1.120",
    "srcport": "44465",
    "transport": "UDP",
    "srcids": {
        "instance": "i-036b008ddf436585a"
    }
}

フォーワーディングしている DNS クエリもログ出力されることがわかりました。

さいごに

Route 53 Resolver で DNS クエリのログを出力できるようになりました。
VPC フローログのトラフィックは IP で表示なので、どこに対する通信なのかわかりにくかったところがあります。DNS クエリのログではドメインがわかるので、ログを可視化することによってトラフィックの分析やセキュリティインシデントの調査で役立ちそうです。

お恥ずかしながら、Amazon Provided DNS は現在使われておらず、Route 53 Resolver に名称が変わっていることをアップデートで知りました。従来 Route 53 Resolver と言うとオンプレからの AWS の名前解決するためのエンドポイントで使われてましたが、今は Route 53 Resolver for Hybrid Clouds という名称になっています。認識齟齬が生まれるかもしれないので、会話する際は気をつけましょう！

参考

• Resolver query Logging
• 20191016 AWS Black Belt Online Seminar Amazon Route 53 Resolver