情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和6年度秋期 午前Ⅰ 問15: DNSキャッシュポイズニング攻撃に対して有効な対策はどれか。

正解

イ. DNS問合せに使用するDNSヘッダー内のIDを固定せずにランダムに変更する。

正答率 50.0%（2人中 1人が正解）

問題の解説

DNSキャッシュポイズニングは、攻撃者が偽の応答を本物より先にキャッシュサーバへ送り込み、誤ったIP対応を覚えさせる攻撃。成功には問合せのトランザクションIDや送信元ポートを推測する必要があるため、これらをランダム化して推測を困難にすることが有効でイが正しい。本質的にはDNSSECによる応答の真正性検証が根本対策。利用者を偽サイトへ誘導されるため影響は大きい。

選択肢ごとの解説

• アマルウェアの隔離はキャッシュ汚染とは別の対策で、偽応答の注入そのものを防げず有効でない。
• イ問合せIDを固定せずランダム化すると偽応答の一致が困難になり、キャッシュ汚染対策として正しい。
• ウ送信元ポートを53番に固定すると推測が容易になり、むしろ攻撃を成功しやすくする逆効果。
• エ宛先ポート53への応答に限る運用はキャッシュ汚染の偽応答推測を防げず、有効な対策にならない。