DNSのホスティング環境にはDNSサーバのコンポーネントが全て含まれる。こうしたコンポーネントは、サーバのOSやアプリケーションから、それらが保存、アクセス、操作するDNSデータまで多岐にわたる。通常、ホスティング環境のセキュリティを確保するのはそれほど難しくない。例えば、OSとアプリケーションのセキュリティ強化、承認済みのユーザーに必要なアクティビティーのみを許可するアクセス制御の構成、環境の適切な保守（パッチ管理、再構成、監視、監査など）などがある。

　DNSデータは、DNSサーバのゾーンファイルに格納される。このゾーンファイルの完全性を確保することが極めて重要になる。NIST SP 800-81-2では、ゾーンファイルの完全性チェッカーというツールの使用を推奨している。このツールをゾーンファイルで頻繁に実行し、異常値を含むレコードがファイルに含まれていないことを確認する。このツールは、さまざまなレコードフィールドの許容値と非許容値で構成されている必要がある。これらの値は企業ごとに異なる可能性がある。

トランザクションに関するDNSセキュリティの問題

　DNSトランザクションには、DNSクエリ、DNS応答、数種類のレコード管理操作などがある。DNSSECはDNSクエリとDNS応答の完全性を確保するための主要メカニズムになる。ただし、DNSSECはこれ以外の種類のDNSトランザクションは保護しない。

　保護が必要なトランザクションの種類の1つが、ゾーン転送だ。ゾーン転送は、DNSゾーンファイルのコンテンツを別のサーバに複製するときに行われる。ゾーン転送は、承認を受けたユーザーだけが開始できるように制限する必要がある。NIST SP 800-81-2では、トランザクション署名、公開鍵暗号、ネットワークレイヤーのセキュリティ（VPNなど）を使用して制限を課す複数の方法を詳しく説明している。

　懸念されるもう1つのトランザクションの種類が、動的更新だ。動的更新では、DNSクライアントがゾーンファイルに加える変更をDNSサーバに通知する。ゾーン転送と同様、動的更新も承認を受けたユーザーしか行えないようにする必要がある。動的更新は、トランザクション署名、公開鍵暗号、VPNなどを使用してリスクを軽減できる。

セキュリティ管理

　セキュリティ管理も、DNSセキュリティの問題を減らすために利用できる。セキュリティ管理では、DNSで使用する暗号化アルゴリズムと、暗号鍵をDNSに使用する方法など、DNSのライフサイクル全体を管理する。NIST SP 800-81-2に記載されているセキュリティ管理についての提案の大多数が、DNSSECの鍵管理に関係している。企業はDNSSECを導入する前にしっかりとした鍵管理ポリシーとプロセスを策定し、鍵管理のニーズに備える必要がある。

　例えば、サーバに関連したDNSセキュリティの問題のインシデントが発生した場合、企業は即座に鍵のロールオーバーを実施しなければならない可能性がある。ロールオーバーを迅速かつ適切に実施しないと、攻撃者がその状況を悪用できる状態になり、DNSの運用が中断されて企業のITリソースが一時的に利用できなくなる恐れがある。企業はDNSセキュリティの最悪の問題を想定した計画を立て、問題が発生したら即座に対処できるようにしておくべきだ。