応用情報技術者試験 応用情報技術者試験 平成29年度春期 午前 問41: DNS キャッシュサーバに対して外部から行われるキャッシュポイズニング攻撃への対策のうち，適切なものはどれか。

正解

イ. 再帰的な問合せに対しては，内部ネットワークからのものだけに応答するように設定する。

正答率 68.0%（1,136人中 773人が正解）

問題の解説

キャッシュポイズニングは、DNS キャッシュサーバに偽の応答を送り込み、誤った名前解決の結果をキャッシュさせる攻撃である。外部からの再帰的な問合せに応答しないようにすれば、攻撃者が自分の都合で名前解決を依頼し、偽の応答を紛れ込ませる機会をなくせる。

選択肢ごとの解説

• ア外部からの再帰的な問合せにも応答すると、攻撃者がキャッシュサーバに任意の問合せをさせられ、攻撃の機会が増える。コンテンツサーバとキャッシュサーバは分離するのが基本である。
• イ正しい。再帰的な問合せに応じる相手を内部ネットワークに限れば、外部の攻撃者がキャッシュサーバに問合せをさせて偽の応答を流し込む手段を断てる。
• ウ送信元ポート番号を固定すると、攻撃者がポート番号を予測しやすくなり、偽の応答を送り込まれやすくなる。ポート番号はランダムにするのが対策である。
• エトランザクション ID を固定すると、攻撃者が ID を予測でき、偽の応答を受け入れさせやすくなる。ID はランダムにするのが対策である。