応用情報技術者試験 応用情報技術者試験 平成30年度秋期 午前 問39: DNS キャッシュサーバに対して外部から行われるキャッシュポイズニング攻撃への対策のうち，適切なものはどれか。

正解

イ. 再帰的な問合せに対しては，内部ネットワークからのものだけを許可するように設定する。

正答率 57.9%（1,292人中 748人が正解）

問題の解説

DNS キャッシュポイズニングは、キャッシュサーバに偽の応答を送り込んで、偽の名前解決結果をキャッシュさせる攻撃である。再帰的な問合せを内部ネットワークのクライアントだけに許可すれば、外部の攻撃者が問合せを引き金にして偽の応答を仕掛ける機会を減らせる。送信元ポート番号やトランザクション ID をランダムにすることも有効である。

選択肢ごとの解説

• アコンテンツサーバにキャッシュサーバを兼ねさせて外部からの再帰的な問合せにも応じると、攻撃を受ける機会が増え、対策に逆行する。
• イ正しい。再帰的な問合せを内部ネットワークからのものだけに限れば、外部の攻撃者が問合せを起点に偽の応答を仕掛けにくくなる。
• ウ送信元ポート番号を固定すると、攻撃者が予測しやすくなり、偽の応答を受け入れさせやすくなる。ランダム化するのが対策である。
• エトランザクション ID を固定すると、攻撃者が予測しやすくなり、偽の応答を受け入れさせやすくなる。ランダム化するのが対策である。