応用情報技術者試験 応用情報技術者試験 令和6年度秋期 午前 問42: DNS キャッシュポイズニング攻撃に対して有効な対策はどれか。

正解

イ. DNS 問合せに使用する DNS ヘッダー内の ID を固定せずにランダムに変更する。

正答率 44.8%（723人中 324人が正解）

問題の解説

DNS キャッシュポイズニングは、キャッシュサーバが問合せを出した直後に、攻撃者が偽の応答を送り込み、偽の情報をキャッシュさせる攻撃である。偽の応答が受け入れられるには、問合せの ID と送信元ポート番号が一致する必要がある。これらを毎回予測できない値にすれば、成功しにくくなる。

選択肢ごとの解説

• アマルウェアの隔離は、侵入した不正プログラムへの対策である。ポイズニングは正規の DNS の仕組みの中で偽の応答を受け入れさせる攻撃なので、防げない。
• イ正しい。ID をランダムにすれば、攻撃者が偽の応答の ID を言い当てにくくなり、偽の応答が受け入れられる確率が下がる。
• ウ送信元ポート番号を 53 番に固定すると、攻撃者がポート番号を推測しやすくなり、かえって攻撃されやすい。ポート番号もランダムにするのが有効である。
• エ偽の応答は、キャッシュサーバが出した問合せの送信元ポート宛てに届くので、宛先ポート 53 の問合せだけに応答するようにしても防げない。