応用情報技術者試験 令和6年度 秋期 午前 問42

【正解】イ

DNSキャッシュポイズニングは、攻撃者が正規の応答より先に偽のDNS応答を送り、キャッシュサーバに誤った名前解決情報を記憶させる攻撃です。DNS応答には、問合せと応答を対応付けるためのトランザクションIDが含まれます。このIDを問合せごとにランダムにすれば、攻撃者が正しい値を推測して偽の応答を受理させることが難しくなります。したがってイが有効な対策です。

アのマルウェアをリアルタイムに隔離するという説明は誤りです。これはウイルス対策ソフトやEDRなどによる、端末やサーバに侵入したマルウェアへの対策です。偽のDNS応答を送り込む攻撃への直接的な対策ではありません。

ウの送信元ポート番号を53番に固定するという説明は誤りです。DNSサーバの宛先ポートには通常53番を使用しますが、問合せ側の送信元ポートはランダム化した方が、攻撃者が応答条件を推測しにくくなります。固定すると、かえって偽応答を作りやすくなります。

エの宛先ポート番号53の問合せだけに応答するという説明は誤りです。外部から届く問合せの宛先ポートを制限する設定にすぎません。キャッシュポイズニングの偽応答は、キャッシュサーバが問合せに使った送信元ポート宛てに送り付けられるもので、問合せの受付条件を絞っても防げません。

【ポイント】 DNSキャッシュポイズニング対策では、トランザクションIDと送信元ポート番号のランダム化が重要です。 さらにDNSSECを利用すると、デジタル署名によって受信したDNS情報の真正性と完全性を検証できます。