情報処理安全確保支援士試験 令和5年度 春期 午前II 問5

【正解】ウ

カミンスキー攻撃は、DNSキャッシュサーバに多数の問合せを発生させ、それに対応する偽のDNS応答を送り付けて、不正な情報をキャッシュさせる攻撃です。偽の応答を正規の応答と誤認させるには、トランザクションIDや問合せ元のポート番号などを一致させる必要があります。問合せごとに送信元ポート番号をランダム化すれば、攻撃者が正しい組合せを推測しにくくなるため、ウが正解です。

アの説明は誤りです。冗長構成は、障害や過負荷が発生したときの可用性を高める対策です。偽のDNS応答を受け入れさせるキャッシュポイズニングを防ぐものではありません。また、キャッシュサーバと権威DNSサーバは役割が異なるため、単純に同じ機能を代替する二台構成でもありません。

イの説明は誤りです。SPFは、あるドメインのメールを送信してよいメールサーバをDNSに登録し、受信側が送信元ドメインの詐称を判定するための仕組みです。DNSリソースレコード自体の正当性を認証する仕組みはDNSSECです。

エの説明は誤りです。プレースホルダを使ったエスケープ処理は、SQL文の構造と入力値を分離し、SQLインジェクションを防ぐための対策です。DNS応答の偽造によるキャッシュ汚染への対策ではありません。

【ポイント】 カミンスキー攻撃は、DNSキャッシュポイズニングの代表例です。 送信元ポート番号とトランザクションIDのランダム化に加え、電子署名でDNS応答を検証するDNSSECも有効な対策です。