ルーターの設定を少し変更するだけで、フィッシングやマルウェアに対する手軽な防御層になるとして注目を集めています。
セキュリティ評論家のLuis Catacora氏は、ルーターのデフォルトDNSリゾルバをCloudflareのアドレス（プライマリサーバーに1.1.1.2、セカンダリサーバーに1.0.0.2）に切り替えるよう呼びかけています。
この変更はエンドポイントセキュリティの代わりにはなりませんが、スマートフォン、ノートPC、テレビ、スマートホーム機器が悪意あるドメインに到達する前に、危険な接続を遮断できます。
DNS（ドメインネームシステム）は、いわばインターネットの住所録として機能します。ブラウザやアプリがサイトを読み込む前に、DNSリゾルバに問い合わせてドメイン名をIPアドレスに変換します。
Cloudflareのマルウェアフィルタリングリゾルバ「1.1.1.1 for Families」は、各リクエストを自社の脅威分類データと照合します。問い合わせ先のドメインがマルウェアまたはフィッシング関連としてフラグ付けされている場合、リゾルバは実際のアドレスの代わりに0.0.0.0を返し、接続そのものをブロックします。
この保護をルーターレベルで適用すれば、アプリのインストールや個別の機器設定なしに、そのネットワーク上のすべての機器に保護が及びます。
そのため、コンピューター、スマートフォン、ゲーム機、スマートテレビ、カメラなど、複数の接続機器が1つの回線を共有している家庭にとって実用的な手段となります。
また、詐欺のテキストメッセージや偽のログインページに引っかかりやすい人にとっても、負担の少ない安全対策です。実際にある利用者が、詐欺被害への懸念から高齢の親のルーターにこの設定を適用したという話が、このアドバイスの拡散のきっかけになったと伝えられています。
セキュリティ対策に加えてコンテンツフィルタリングも希望する家庭では、代わりに1.1.1.3と1.0.0.3を使用できます。これらはマルウェアとフィッシング対策に加え、アダルトコンテンツのブロック機能も備えています。
この設定は通常、ルーターの管理画面の「インターネット」「WAN」「DHCP」「LAN」「DNS」などの項目にありますが、表記はベンダーやISPによって異なります。変更前に既存のDNSアドレスを記録しておき、新しい設定を保存した後にブラウジングをテストすることをお勧めします。
Cloudflareは両リゾルバについて、IPv6のアドレスペアと暗号化DNSエンドポイントも提供しています。DNSフィルタリングがブロックできるのは、Cloudflareがすでに分類済みの接続先のみであり、しかも実際にそのルーターのリゾルバを使用している機器に限られます。
CSNによると、独自の暗号化DNSやVPN、モバイルデータ通信、あるいはハードコードされたリゾルバを使用している機器であれば、この保護を完全に迂回できるとのことです。
また、感染済みの端末を消毒したり、すべての悪意あるファイルを検出したり、正規だが侵害されたサービス上での認証情報窃取を防いだり、パッチ適用や多要素認証の代わりを務めたりすることもできません。
誤検知や、ISPレベルでのDNS制限、位置情報に依存するサービスの不具合が発生する可能性もあります。ここで重要なのは、これが「無料のアンチウイルス」だということではなく、追加のサブスクリプションやアプリなしで、一般的なウェブベースの攻撃のハードルを上げられる、手軽でネットワーク全体に及ぶ制御手段だという点です。
固有のパスワード、多要素認証（MFA）、定期的なアップデート、信頼できるエンドポイント保護、そしてクリックする前に一呼吸置く習慣と組み合わせれば、Cloudflareのフィルタリング付きDNSは、追加のサブスクリプションやアプリを必要とせずに、家庭に意味のあるセキュリティ強化をもたらしてくれます。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/free-cloudflare-dns-tweak-blocks-malware/
