情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成27年度春期 午前Ⅱ 問15: DNSの再帰的な問合せを使ったサービス不能攻撃（DNS amp攻撃）の踏み台にされることを防止する対策はどれか。

正解

ア. DNSキャッシュサーバとコンテンツサーバに分離し，インターネット側からDNSキャッシュサーバに問合せできないようにする。

正答率 100.0%（1人中 1人が正解）

問題の解説

DNS amp攻撃は、誰でも再帰問合せに応じるオープンリゾルバを踏み台にし、送信元を標的に偽装した問合せで大きな応答を標的へ集中させる。踏み台化を防ぐには、キャッシュサーバとコンテンツサーバを分離し、外部からキャッシュサーバへ再帰問合せできないよう制限するのが有効。実務ではアクセス制御で再帰問合せ元を内部に限定し、踏み台化を断つ。

選択肢ごとの解説

• アキャッシュとコンテンツを分離し外部からの再帰問合せを遮断する設定が踏み台化防止に直結し正しい。
• イWhoisでの確認は攻撃の踏み台化防止とは無関係であり対策にならないため誤り。
• ウ複数IPでの負荷分散は可用性向上策であり、増幅の踏み台化を防がないため誤り。
• エ署名での対応情報検証はDNSSECの内容であり、自サーバが踏み台にされる問題の対策ではないため誤り。