DNSリバインディング

• チェーン内のDNSサーバーは、プライベートIPアドレスとループバックIPアドレスをフィルタリングできます。
  • 外部のパブリックDNSサーバー（例：OpenDNS）はDNSフィルタリングを実装できます。^{[ 5 ]}
  • ローカルシステム管理者は、組織のローカルネームサーバーを設定して、外部名を内部IPアドレスに解決することをブロックできます。（ただし、この設定には、攻撃者が使用中の内部アドレス範囲をマッピングできてしまうという欠点があります。）
• ゲートウェイまたはローカル PC にあるファイアウォール(dnswall など)は、通過する DNS 応答をフィルタリングし、ローカル アドレスを破棄することができます。^{[ 6 ] [ 7 ]}

DNSフィルタリングはドメインネームシステムブロックリストと競合することに注意してください。RFC 5782 ^{[ 8 ]}では、このような用途に127で始まるIPアドレス（例：127.0.0.2）を使用することを標準化しています。通常、メールサーバーは、ローカル構成に従って、またはSPFのEXISTSメカニズムなどの外部指示に従って、この種のさまざまなクエリを実行します。正確性を保つためには、メールサーバーが上記のようなフィルタリングを実行するDNSサーバーを使用しないことが重要です。

• ウェブブラウザはDNSリバインディングに抵抗できる。
  • Web ブラウザは DNS ピンニングを実装できます。^{[ 9 ]} IP アドレスは最初の DNS 応答で受信した値に固定されます。この手法は、ダイナミック DNSの正当な使用をブロックする可能性があり、すべての攻撃に対して機能するとは限りません。ただし、IP アドレスが変更された場合はフェイルセーフ (レンダリングを停止) することが重要です。TTL の有効期限が過ぎた IP アドレスを使用すると、IP アドレスが正当に変更され、期限切れの IP アドレスが攻撃者によって制御される可能性があるという逆の脆弱性が開かれる可能性があるためです。
  • Firefox用のNoScript拡張機能には、ブラウザ内部にファイアウォールのような機能を持つABEが含まれています。ABEはデフォルト設定では、外部のウェブページがローカルIPアドレスにアクセスするのを防ぐことで、ローカルネットワークへの攻撃を防止します。
• Webサーバーは、認識できないHostヘッダーを含むHTTPリクエストを拒否することができます。