情報セキュリティマネジメント 2023年 科目A 問06
問題文
迷惑メール対策のSPF（Sender Policy Framework）の仕組みはどれか。
選択肢
ア：送信側ドメインの管理者が、正規の送信側メールサーバのIPアドレスをDNSに登録し、受信側メールサーバでそれを参照して、IPアドレスの判定を行う。（正解）
イ：送信側メールサーバでメッセージにデジタル署名を施し、受信側メールサーバでそのデジタル署名を検証する。
ウ：第三者によって提供されている、スパムメールの送信元IPアドレスのデータベースを参照して、スパムメールの判定を行う。
エ：ファイアウォールを通過した要求パケットに対する応答パケットかどうかを判断して、動的に迷惑メールの通信を制御する。
🔒 解説は解答すると表示されます
SPF（送信者ポリシー）【情報セキュリティマネジメント解説】
正解の理由
SPF（Sender Policy Framework：送信者ポリシー）は、送信ドメインの管理者が「どのメールサーバから送ってよいか」をDNS（Domain Name System：ドメイン名をIPアドレスに変換する仕組み）に登録し、受信側のメールサーバが接続元IPと照合して判定する仕組みです。設問の説明のうち、DNSに正規送信サーバのIPアドレスを登録し受信側で参照するという点が該当するため、アが正解です。
ポイントは「DNSに書いてある送信を許可されたIPかどうか」を見ている点であり、メッセージに署名する方式（イ）や、スパム送信元をまとめたブラックリスト参照（ウ）、ファイアウォールの動的制御（エ）とは仕組みが異なります。
解法ステップ
- 問題文が「送信ドメインを基に送信可否を判定する」仕組みかを把握する（SPFの目的を思い出す）。
- 「DNSに登録して受信側が参照する」という記述があればSPFを示すと断定できる。
- デジタル署名はDKIM（DomainKeys Identified Mail：メールの改ざん検出と送信者認証）である、という知識で選択肢を消去する。
- ブラックリスト参照はRBL（Realtime Blackhole List：既知のスパム送信元一覧）の説明である点を消す。
- ファイアウォールの説明はネットワーク制御であってメール認証の説明ではないと判断する。
試験では「DNSに登録」「送信ドメインの管理者」「受信側メールサーバで参照」といったキーワードを見つけるとSPFと結びつけやすいです。
選択肢別の誤答解説
- ア: 正しい。送信ドメインの管理者がDNSに許可する送信サーバ（IPアドレスやホスト名）を記述し、受信側が接続元IPと照合して合致すれば通す、というSPFの基本動作を述べています。SPFレコードは一般にTXTレコード（例: v=spf1 ip4:203.0.113.0/24 -all）で公開します。
- イ: 誤り。メッセージにデジタル署名を付けて検証する方式はDKIMです。DKIMはメール本文やヘッダの一部に署名を付け、受信側で公開鍵を使って検証します（DNSに公開鍵を置く点は共通していますが、仕組みは署名ベース）。
- ウ: 誤り。第三者が提供するスパム送信元のデータベース（RBL）はブラックリスト方式で、既知の悪性IPを基に判定します。SPFはドメインの「許可リスト」を公開する方式で方向性が逆です。
- エ: 誤り。ファイアウォールでのパケットの状態追跡や通信制御はネットワーク層の制御であり、メールの送信者認証（SPF等）ではありません。
よくある誤解
- SPFは「件名や本文のなりすまし」を完全に防ぐと思いがち：SPFは送信元の送信サーバを検証する技術で、メール本文の改ざんや送信者名（Fromヘッダ）の偽装を直接防ぐものではありません。DKIMやDMARCと組み合わせて使うのが効果的です。
- 転送で自動的に動くと思いがち：メール転送（メーリングリストや個人転送）では転送先の送信IPが元の送信ドメインの許可リストにないため、SPF判定が失敗することがあります（いわゆる転送問題）。転送対策にはSRSやDKIMの活用が必要です。
- SPFを設定すれば全ての迷惑メールが止まると思うのは誤り：SPFは有効な手段の一つですが、単独では不正メールを完全に防げず、運用ポリシーと他の技術（DKIM、DMARC、受信側のフィルタリング）が必要です。
補足コラム
実務での運用イメージ：
- メール送信を外部サービス（クラウドメール、メール配信業者）に委託する場合、ドメイン管理者はそのサービスの送信IPや「include:」形式の参照をSPFレコードに追加します。変更があるたびにDNSレコードを更新し、反映までに一定時間（TTL）かかる点に注意します。
- SPFレコード例（実際のDNSにはこの文字列をTXTレコードで登録します）
例: v=spf1 ip4:192.0.2.0/24 include:spf.partner.com -all
意味：192.0.2.0/24のIPとpartner.comが許可され、それ以外は拒否（-all）という指示です。 - 関連技術：DKIM（署名で改ざん検知）とDMARC（Domain-based Message Authentication, Reporting & Conformance：SPFとDKIMの結果に基づく受信側の扱い指示とレポート）が一緒に使われると効果が高まります。
FAQ
Q. SPFを設定すれば送信ドメインの偽装は完全に防げますか？
A. 単独では不完全です。SPFは送信サーバの正当性を確認しますが、Fromヘッダの見せかけや本文の改ざんは別対策（DKIM/DMARC）で補う必要があります。
A. 単独では不完全です。SPFは送信サーバの正当性を確認しますが、Fromヘッダの見せかけや本文の改ざんは別対策（DKIM/DMARC）で補う必要があります。
Q. どこにSPFレコードを追加しますか？
A. ドメインのDNS管理画面でTXTレコード（または古い環境ではSPFタイプ）として追加します。DNS管理は総務や委託業者と調整して行います。
A. ドメインのDNS管理画面でTXTレコード（または古い環境ではSPFタイプ）として追加します。DNS管理は総務や委託業者と調整して行います。
Q. メーリングリストや転送でSPF失敗したらどうする？
A. SRS（Sender Rewriting Scheme）を使う、あるいはDKIM署名を有効にしてメールの整合性を保つ方法を検討します。また受信側でDMARCポリシーを適切に設定して運用することが重要です。
A. SRS（Sender Rewriting Scheme）を使う、あるいはDKIM署名を有効にしてメールの整合性を保つ方法を検討します。また受信側でDMARCポリシーを適切に設定して運用することが重要です。
関連キーワード: SPF、DNS、メール認証、DKIM、DMARC、RBL、メール転送問題、TXTレコード、メール運用管理
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！