運用中のDNSレコードが勝手に書き換わっていました。

Question

さて、
先日運用中のLinux内で稼働中しているApacheサーバで配信中のWEBアプリケーションにアクセスできなくなるという障害が当方のある環境で発生しました。

一切思いあたることがなかったのですが、原因を調査していきますと所持ドメインのDNSのAレコードが勝手に書き換わり、DNSの参照先が全く別のCloudFlareのIPを参照するように書き換わっていました。
※この参照先はhttp://104.27.148.189/ 左記IPに書き換わっていました。

現在は、所持しているドメインのDNSレコードを再度正規のIPに書き換えを行いある程度復旧しております。
そこでお聞きしたい点としていくつかあります。

疑問(1)ドメインのDNSがいつの間にか勝手に書き換わることなどありえるのでしょうか?

疑問(2)また、書き換えられた先の参照先IPアドレスCloudFlareになってていましたが、
なぜ、CloudFlareなのでしょうか?

さて、
この疑問(2)に関しては、確かに、Jqueryや特定のライブラリを当該のWEBアプリケーション内で確かに参照しておりました。その参照先がCloudFlareだったのですがしかしながら、CDN経由で参照するJSライブラリなど他のにもboostrapなどを使用しておりました。

有識者の方、ご教授のほどよろしくお願いいたします。

Comments

[scsi]

DNSは何を使っているのでしょうか？更新時のログが残らないシステムでしょうか？勝手には書き変わらないので誰かが書き換えたと考えて調べるべきでしょう

Answer 1

疑問(1)

ありえませんし、そういうはなしもきいたことはありません

疑問(2)

書き換えた人に聞いてください、としかいいようがありません。

関係者で書き換えた人がいないと言うなら、管理会社を訴える案件だと思いますが

Answer 2

疑問(1)ドメインのDNSがいつの間にか勝手に書き換わることなどありえるのでしょうか?

DNSを何で運用しているかによりますが、想定されるのは以下です。
・ドメインの移管（乗っ取り）により、勝手にドメインのNSが別のネームサーバに向けられた
・BINDのようなコンテンツサーバを使用しており、脆弱性を突かれてレコードを変更された
・Webサービス、DNSサービスを同じ事業者のものを使用しており、（実は）連携していた。
・ゾーン転送（AXFR）を許可しており、それによりゾーンファイルが書き換えられた。

疑問(2)また、書き換えられた先の参照先IPアドレスCloudFlareになってていましたが、

なぜ、CloudFlareなのでしょうか?

分かりません。書き換わったのが攻撃であれば攻撃者がCloudFlareを使用していたのではないでしょうか。