情報セキュリティマネジメント 2019年 春期 午前（科目A） 問10
問題文
DNSキャッシュポイズニングに該当するものはどれか。
選択肢
ア：HTMLメールの本文にリンクを設定し、表示文字列は、有名企業のDNSサーバに登録されているドメイン名を含むものにして、実際のリンク先は攻撃者のWebサイトに設定した上で、攻撃対象に送り、リンク先を開かせる。
イ：PCが問合せを行うDNSキャッシュサーバに偽のDNS応答を送ることによって、偽のドメイン情報を注入する。（正解）
ウ：Unicodeを使って偽装したドメイン名をDNSサーバに登録しておき、さらに、そのドメインを含む情報をインターネット検索結果の上位に表示させる。
エ：WHOISデータベースサービスを提供するサーバをDoS攻撃して、WHOISデータベースにあるドメインのDNS情報を参照できないようにする。
🔒 解説は解答すると表示されます
DNSキャッシュポイズニング【情報セキュリティマネジメント解説】
正解の理由
選択肢イは、DNSキャッシュサーバ（DNSサーバ（Domain Name System：ドメイン名をIPアドレスに変換する仕組み）で、複数の問い合わせ結果を一時保存する役割を担うもの）に対して「偽のDNS応答を送る」ことで、誤ったドメイン情報をそのキャッシュに注入する攻撃を説明しています。これがまさに「DNSキャッシュポイズニング（DNS cache poisoning）」です。攻撃が成功すると、利用者が正しいドメイン名を指定しても、キャッシュに入った偽のIPアドレスに誘導されます。したがって、選択肢イが正解です。
解法ステップ
- 問題文のキーワードを探す：「偽のDNS応答」「キャッシュサーバ」「注入」などを確認する。
- それらが組み合わさっている選択肢を選ぶ。DNSの「キャッシュに偽情報を入れる」攻撃が定義に合致するかを検証する。
- 他の選択肢が別種の攻撃（フィッシング、ドメイン登録の偽装、DoS）であることを確認し、除外する。
選択肢別の誤答解説
- ア: メール本文の表示文字列と実際のリンク先を不一致にする手法は「フィッシング」や「なりすまし誘導」です。ユーザを騙してリンクをクリックさせる点で危険ですが、DNSのキャッシュに偽情報を注入する手法ではありません。
- イ: 偽のDNS応答を送ってキャッシュに偽情報を注入する点で、DNSキャッシュポイズニングの定義と一致します。
- ウ: Unicode（IDN：Internationalized Domain Name、多言語ドメイン名）を利用して見た目を似せたドメインを登録し、検索結果で上位表示させるのは「ホモグラフ攻撃」や「SEOを使った偽サイト表示」に近い攻撃です。これもDNSのキャッシュ注入とは異なります（攻撃者が正規のキャッシュを書き換えるわけではない）。
- エ: WHOIS（ドメイン登録情報を問い合わせるデータベース）を提供するサービスへのDoS（サービス妨害）攻撃は、可用性を下げる行為です。WHOIS参照を妨げてもDNSレコード自体を改ざんするわけではないため、キャッシュポイズニングではありません。
よくある誤解
- DNSキャッシュポイズニング＝単なるフィッシングと思う誤解
フィッシングは人を騙す手法で、DNSキャッシュポイズニングは名前解決の仕組み自体を改ざんして多数の利用者を誤誘導する技術的攻撃です。 - 「攻撃は必ずサーバの完全な侵害を伴う」と思う誤解
キャッシュポイズニングはDNSの応答に偽情報を混ぜ込むことで成立する場合があり、必ずしもキャッシュサーバのOSや設定を完全に乗っ取る必要はありません（ただし乗っ取りも有効な手段です）。
補足コラム
防御策（職場で導入しやすい順に）
- DNSSEC（Domain Name System Security Extensions：DNS応答に電子署名を付け、改ざんを検出する仕組み）を利用する。署名により応答の正当性が確認できます。ただし、導入にはDNS側とレゾルバ側双方の対応が必要です。
- リゾルバ（社内の問い合わせを外部へ中継するDNSサーバ）でソースポートやクエリIDのランダム化を行う。これにより偽応答の当てる難度が上がります。
- DNS over HTTPS（DoH：DNS over HTTPS）や DNS over TLS（DoT：DNS over TLS）を利用して、DNS問合せと応答の通信を暗号化する。ネットワーク上の盗聴や偽応答挿入のリスクを低減します。
- キャッシュの監視とログ収集。突然のIP変更やTTL（Time To Live：キャッシュの有効時間）の不自然な値を検知したら調査する運用を整える。 現場運用のイメージ：社内のDNSリゾルバを信頼できる外部DNS（例えばISPやセキュリティベンダ提供の検証済みリゾルバ）にフォワードし、DNSSECの検証を有効にする。特に重要なサービス（自社の銀行振込ページなど）は、証明書（HTTPS）での正当性確認運用を合わせて行います。
FAQ
Q. ユーザが気づくサインはありますか？
A. ブラウザの証明書警告（HTTPS証明書が一致しない）、見慣れない画面遷移、ログインが急にできなくなる等が手がかりになります。だたし攻撃者が正当な証明書を用意していると気づきにくいです。
A. ブラウザの証明書警告（HTTPS証明書が一致しない）、見慣れない画面遷移、ログインが急にできなくなる等が手がかりになります。だたし攻撃者が正当な証明書を用意していると気づきにくいです。
Q. HTTPSがあれば安全ですか？
A. HTTPSは通信の暗号化とサーバ確認を行います。正当な証明書が適切に運用されていれば多くの攻撃を防げますが、攻撃者が証明書を不正取得している場合は突破されることもあります。複数の対策を組み合わせることが重要です。
A. HTTPSは通信の暗号化とサーバ確認を行います。正当な証明書が適切に運用されていれば多くの攻撃を防げますが、攻撃者が証明書を不正取得している場合は突破されることもあります。複数の対策を組み合わせることが重要です。
Q. 一般社員ができる対策は？
A. 不審なURLをクリックしない、ブラウザの証明書警告を無視しない、異常を見つけたらIT部門やセキュリティ担当へ速やかに報告する、などの基本的行動が有効です。
A. 不審なURLをクリックしない、ブラウザの証明書警告を無視しない、異常を見つけたらIT部門やセキュリティ担当へ速やかに報告する、などの基本的行動が有効です。
関連キーワード: DNS、DNSキャッシュポイズニング、DNSキャッシュサーバ、DNSSEC、DoH、DoT、フィッシング、IDN、WHOIS、DoS
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！