エンベデッドシステムスペシャリスト 2016年 午前2 問19
問題文
DNSサーバに格納されるネットワーク情報のうち、外部に公開する必要がない情報が攻撃者によって読み出されることを防止するための、プライマリDNSサーバの設定はどれか。
選択肢
ア：SOAレコードのシリアル番号を更新する。
イ：外部のDNSサーバにリソースレコードがキャッシュされる時間を短く設定する。
ウ：ゾーン転送を許可するDNSサーバを限定する。（正解）
エ：ラウンドロビン設定を行う。
🔒 解説は解答すると表示されます
DNSゾーン転送の制限【午前2解説】
正解の理由
DNSのゾーン転送とは、プライマリDNSサーバが管理するゾーン情報を、セカンダリDNSサーバへ複製する仕組みです。ゾーン情報には、通常の名前解決では公開しないホスト名やネットワーク構成などが含まれる場合があります。
そのため、ゾーン転送を許可するDNSサーバを限定し、許可されていないサーバからの転送要求を拒否する必要があります。この設定に該当するのは、ウです。
解法ステップ
- 問題の目的が「情報を読み出されることの防止」だと確認します。
- DNSサーバからゾーン全体の情報を取得する仕組みが、ゾーン転送であると判断します。
- ゾーン転送を許可する相手を制限すれば、許可されていない相手による情報取得を防げます。
選択肢別の誤答解説
- ア：SOAレコードのシリアル番号は、ゾーン情報の更新状況を管理するための番号です。値を更新しても、ゾーン転送できる相手は制限されません。
- イ：キャッシュ時間（TTL）を短くすると、キャッシュされた情報の保持時間が短くなります。ゾーン情報の転送を許可する相手の制限にはなりません。
- ウ：ゾーン転送を許可するDNSサーバを限定する設定です。許可されていないサーバからのゾーン情報取得を防止できます。
- エ：ラウンドロビン設定は、複数のIPアドレスを順番に応答して負荷を分散する方法です。ゾーン情報の読み出し制限とは関係ありません。
よくある誤解
- TTLを短くすれば、DNS情報そのものが外部に知られにくくなると考えることがあります。TTLはキャッシュの保持時間を制御するもので、情報の閲覧権限は制御しません。
- DNSの通常の問い合わせとゾーン転送を混同しがちです。通常の問い合わせは特定の名前に対応する情報を尋ねますが、ゾーン転送ではゾーン内の情報をまとめて複製します。
- ゾーン転送は常に誰にでも許可されるものだと考えることがあります。実際には、転送先をセカンダリDNSサーバなどに限定する設定が重要です。
補足コラム
ゾーン転送には、ゾーン全体を転送する方式（AXFR）や、変更分を転送する方式（IXFR）があります。どちらの方式でも、許可する転送先を適切に設定することが情報漏えい対策になります。
なお、この制限はゾーン転送の制御です。外部向けに公開する必要があるDNSレコードへの通常の問い合わせまで、同じ設定で一律に禁止するものではありません。
FAQ
Q. セカンダリDNSサーバへのゾーン転送も禁止するのですか？
A. いいえ。ゾーン情報を複製する必要がある正規のセカンダリDNSサーバには許可し、それ以外のサーバからの転送要求を拒否します。
A. いいえ。ゾーン情報を複製する必要がある正規のセカンダリDNSサーバには許可し、それ以外のサーバからの転送要求を拒否します。
Q. ゾーン転送を制限すると、外部からの通常の名前解決もできなくなりますか？
A. 通常の名前解決とゾーン転送は別の処理です。ゾーン転送を制限しても、公開しているレコードへの通常の問い合わせは可能です。
A. 通常の名前解決とゾーン転送は別の処理です。ゾーン転送を制限しても、公開しているレコードへの通常の問い合わせは可能です。
関連キーワード: DNS、ゾーン転送、プライマリDNSサーバ、セカンダリDNSサーバ、AXFR、IXFR、情報漏えい対策
\ せっかくなら /
エンベデッドシステムスペシャリストを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！