応用情報技術者 2017年 春期 午前2 問41

DNSキャッシュサーバのキャッシュポイズニング対策【午前2 解説】

要点まとめ

• 結論：再帰的な問合せに対しては、内部ネットワークからのものだけに応答する設定が適切です。
• 根拠：外部からの再帰的問合せを許可すると、攻撃者が偽の応答を送り込みやすくなり、キャッシュポイズニングのリスクが高まります。
• 差がつくポイント：再帰的問合せの応答範囲を限定し、信頼できる内部ネットワークのみに制限することが重要です。

正解の理由

よくある誤解

• 再帰的問合せの送信元ポート番号やトランザクションIDを固定すれば安全と考えがちですが、これらは攻撃者に推測されやすく、根本的な対策にはなりません。
• 外部からの再帰的問合せを許可すると、キャッシュポイズニングのリスクが増大します。

解法ステップ

1. DNSキャッシュサーバの役割と再帰的問合せの意味を理解する。
2. キャッシュポイズニング攻撃の仕組みを把握し、攻撃経路を特定する。
3. 外部からの再帰的問合せが攻撃の入口になることを認識する。
4. 再帰的問合せの応答範囲を内部ネットワークに限定する設定が有効であると判断する。
5. 選択肢の中でこの対策を示すものを選ぶ。

選択肢別の誤答解説

• ア: コンテンツサーバにキャッシュサーバを兼ねさせ、外部からの再帰的問合せに応答させるのは攻撃リスクを増やすため誤りです。
• ウ: 送信元ポート番号を固定すると、攻撃者に推測されやすくなり安全性が低下します。
• エ: トランザクションIDを固定すると、攻撃者がIDを推測しやすくなり、むしろ攻撃を助長します。

補足コラム

FAQ