ネットワークスペシャリスト試験 令和4年度 春期 午前II 問21

【正解】ア

DNSリフレクタ攻撃では、攻撃者が送信元IPアドレスを攻撃対象のものに偽装し、第三者のDNSキャッシュサーバへ再帰的な問合せを送ります。DNS応答は偽装された攻撃対象へ返るため、多数のDNSサーバを踏み台にして大量の通信を集中させられます。したがって、権威DNSサーバとDNSキャッシュサーバを分離し、キャッシュサーバの再帰的な問合せを組織内などの許可された利用者だけに制限するアが正解です。権威DNSサーバは、外部からの通常の問合せに応答できる状態を維持します。

イのWhoisデータベースで確認する方法は誤りです。Whoisは、ドメイン名やIPアドレスの登録者、管理組織などを調べるための仕組みであり、再帰的な問合せの悪用を防ぐものではありません。

ウの複数のIPアドレスへアクセスを振り分ける方法は誤りです。これはDNSラウンドロビンによる負荷分散の説明であり、DNSサーバが踏み台になることを防止できません。

エのデジタル署名を確認する方法は誤りです。これはDNSSECによってDNS応答の真正性や完全性を検証し、応答の偽造や改ざんを検出する仕組みです。

【ポイント】 DNSキャッシュサーバを不特定多数が利用できる状態をオープンリゾルバといいます。 再帰問合せの受付範囲をアクセス制御で限定することが、DNSリフレクタ攻撃の踏み台防止に有効です。