応用情報技術者 2010年 春期 午後 問09

　M社は、ある製品の開発、販売を手掛ける企業であり、東京本社のほかに、大阪と福岡に営業所をもっている。自社のホームページは東京本社に設置したWebサーバ W1 で運営しており、自社製品のショッピングサイトは同じく東京本社に設置した別のWebサーバ W2 を使っている。M 社のWebサーバ W1、W2 のホスト名の情報は、東京本社に設置した DNSサーバ D1 で管理している。東京本社はインターネットサービスプロバイダ（以下、ISPという）X と、大阪営業所及び福岡営業所は ISP Y と契約してインターネットに接続している。M 社のネットワーク構成を図に示す。また、M 社の PCに設定されている DNSサーバの情報を表に示す。

　あるとき、掲載されている商品を確認するためにM社のショッピングサイトにアクセスしていた福岡営業所の社員Aさんから、①「ホームページのリンクをクリックしてショッピングサイトにアクセスしようとしたところ、いつも表示されるショッピンゲサイトとは違うサイトが表示された。」という報告が東京本社に入った。M社のネットワーク管理者Bさんが、東京本社と大阪営業所に在席する社員に指示し、各自のPCから、Aさんの報告と同様の手順でショッピングサイトにアクセスさせてみたところ、Aさんの報告のような状態にはならなかった。そこで、原因究明のためにセキュリティ対策会社であるN社に調査と対策の検討を依頼した。 　しばらくした後、Aさんから②「再度同様の手順でアクセスしたところ、今度は正しいショッピングサイトが表示された。」という報告が入った。 　調査を開始したN社の担当者Cさんは、東京本社に設置されているWebサーバW1、W2及びDNSサーバD1に改ざんの跡がないかを確認したが、コンテンツの異常や不正アクセスを示す証跡は発見されなかった。大阪営業所及び福岡営業所に設置されているPCのウイルスチェック結果やDNSサーバD2とD3の状態も確認したが、異常は発見されなかった。さらに、ISP X及びISP Yにインシデントの発生状況について問い合わせたが、当該期間での発生はないとの回答を受けた。 　調査結果から、Cさんは“DNSキャッシュポイズニング”が今回の現象の原因だろうと判断した。Cさんが取りまとめた調査結果の概要は、次のとおりである。 　 〔調査結果の概要〕 　・福岡営業所で発生した現象は、DNSキャッシュポイズニングが原因だと推定される。 　・具体的には、aのDNSキャッシュに偽りの情報が一時的に埋め込まれていたので、Aさんからの報告の現象が発生した。 　・DNSキャッシュポイズニングの攻撃手法は各種あるが、今回のものは2008年に公表されたカミンスキー・アタックである可能性が考えられる。 　・aのDNSソフトウェアのバージョンが古いので、早急にカミンスキー・アタック対策を施した最新版を導入するべきである。 　・DNSキャッシュポイズニングへの根本的な対応策としては、DNSサーバからの応答に公開鍵暗号方式で署名するbの導入が望まれるが、利用可能になるまでしばらく時間が必要である。現時点では、東京本社、大阪営業所、福岡営業所のPCが参照するDNSサーバに偽りの情報が埋め込まれる可能性を低減する工夫をすべきである。 　　次は、調査完了後のBさんとCさんの会話である。 　 〔調査完了後の会話〕 　C：今回の福岡営業所で発生した現象は、DNSキャッシュポイズニングが原因だったと思われます。DNSキャッシュポイズニングについては御存じですか。 　B：名前は聞いたことがありますが、実際に発生したのを見たのは初めてです。 　C：今後の対応策ですが、まずは今回の現象の内容について、M 社全体に知らせた方がよいでしょう。 　B：どのような内容を知らせたらよいでしょうか。 　C：第一報として、起こった事実を正確に伝えることが大切ですね。cと、dの 2 点は、必ず含めるようにしてください。DNSキャッシュポイズニングについては、別途時間を設けて、社員へのセキュリティ教育の一環で解説するのがよいと思います。 　B：分かりました。文案を考えて、社内のポータルサイトなどで知らせるように手配します。ところで、福岡営業所の PCの DNS設定はどうしたらよいでしょうか。ISP Y の DNSサーバ Y1 に変更すればよいですか。 　C：それよりも、大阪営業所と福岡営業所の PCに設定する DNSサーバを、東京本社に設置されている DNSサーバ D1 に変更したらどうでしょう。 　B：全社の PCが同じ DNSサーバを利用することで、管理対象の DNSサーバを一元化するわけですね。そうすると、ネットワーク全体の運用管理も単純化できます。 　C：イントラネット間は、現在使っているインターネット接続を使って結ぶのが経済的ですね。東京本社と大阪営業所、福岡営業所の間を、eで結ぶわけです。 　B：そうするには、東京本社と大阪営業所、福岡営業所が一つのネットワークになるので、PCに割り当てるfに重複がないか調査する必要がありますね。早速調べてみることにします。 　C：DNSサーバ D1 は、現在 DNSコンテンツサーバの機能（Webサーバなどの情報をインターネットに提供する機能）と DNSキャッシュサーバの機能（社内の PCなどからの問い合わせを中継する機能）を提供しています。DNSキャッシュサーバへのgからのアクセスを制限するために、DNSコンテンツサーバと DNSキャッシュサーバの機能を分離した方がよいですね。 　B：その場合、DNSキャッシュサーバはネットワークのどこに配置すべきでしょうか。 　C：今の DNSサーバ D1 と同じ DMZ に置くことも可能ですが、できれば PCなどが置かれているイントラネットがよいでしょう。東京本社の PCと同様のセキュリティポリシによって、ファイアウォールで保護するのが適切だと思います。