システム監査技術者試験 令和4年度 秋期 午前II 問22

【正解】エ

DNSSECは、DNSが返す名前解決情報にデジタル署名を付け、応答が正当な管理者によって作成され、途中で改ざんされていないことを検証する仕組みです。利用者側のリゾルバは、公開鍵に対応するDNSKEYレコードなどを用いて署名を検証します。さらに、上位ゾーンから下位ゾーンへ信頼をつなぐことで、偽のDNS応答によるキャッシュポイズニングなどを検出しやすくします。したがって、エが正解です。

アのDoS攻撃を防止できるという説明は誤りです。DNSSECが提供するのは主に応答の真正性と完全性であり、大量の通信によってサービスを妨害する攻撃への可用性対策ではありません。

イのIPsecによる暗号化通信が前提という説明は誤りです。DNSSECはDNSデータの署名を検証する仕組みであり、IPsecとは独立して利用できます。また、通常のDNSSECは通信内容の秘匿を目的としていません。

ウのBINDの代替という説明は誤りです。BINDはDNSサーバソフトウェアの代表的な実装であり、DNSSECはDNSの安全性を高めるための拡張仕様です。BINDもDNSSECに対応できます。

【ポイント】 DNSSECが保証する中心的な性質は、DNS応答の真正性と完全性です。 通信内容の暗号化、利用者の匿名化、DoS攻撃の防止を行う仕組みではない点を区別してください。