情報セキュリティマネジメント 2025年 科目A 問05

DNSキャッシュポイズニング対策【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「キャッシュポイズニング」が何を狙うかを整理する（キャッシュに偽の名前解決結果を書き込むこと）。
2. 各選択肢がその攻撃経路にどう影響するかを考える。
3. 外部からの再帰を許すと攻撃者に利用される点に注目し、これを遮断する選択肢を選ぶ。

選択肢別の誤答解説

• ア: DNSサービスの待ち受けポートを53番に固定する。
  ポート53はDNSの標準ポートです。ポートを固定しても攻撃自体は防げません。むしろ攻撃者は標準ポートを利用して攻撃を行うため意味がほとんどありません。効果的なのは「ソースポートのランダム化（応答の予測を困難にする）」などです。
• イ: 外部のDNSクライアントからの再帰的問合せを受け付けない設定にする。
  正解。外部からの再帰を遮断すると、攻撃者がそのサーバを使って偽応答をキャッシュに注入する経路を断てます。実運用では、許可するネットワーク（社内ネットワークや特定のフォワーダ）だけに再帰を制限します。
• ウ: 権威DNSサーバへの問合せに使用するトランザクションIDを固定する。
  トランザクションID（問い合わせと応答を対応付ける識別子）はランダムであるべきです。固定すると応答を偽装する攻撃者が簡単に一致させられるため、むしろ危険になります。正しくは「ランダム化」して予測を難しくします。
• エ: 権威DNSサーバへの非再帰的問合せを行う設定にする。
  権威サーバへの問い合わせを非再帰にするのは通常の挙動であり、キャッシュサーバ側の外部再帰受け入れ設定とは別の話です。外部からの再帰を遮断する方が直接的な対策です。

よくある誤解

• ポート番号を変えれば安全になる：攻撃者は標準ポートに合わせて動くため、単純なポート変更は有効な防御になりません。防御はプロトコルの振る舞い（再帰の許可範囲や応答のランダム化）で行います。
• トランザクションIDを固定すれば検証が楽になる：IDを固定すると攻撃者が応答を一致させやすくなり危険です。必ずランダム化します。
• 「非再帰」にすれば全て解決：非再帰の意味を混同しやすいですが、外部クライアントからの再帰要求を受け付けない設定（allow-recursion制御など）がポイントです。

補足コラム

• 内部の社員や自社システムは社内ネットワークからのみ再帰を許可するACL（アクセス制御）を設定します。外部からの再帰は拒否します。
• さらに有効な追加対策として、以下があります。
  • DNSソフトウェアのバージョンを最新に保つ（既知の脆弱性修正）。
  • トランザクションIDだけでなく、送信元ポートのランダム化を有効にする。
  • DNSSEC（DNS Security Extensions：DNS応答に電子署名を付ける仕組み）を導入して真正性を検証する。
  • 応答のケースランダマイゼーション（0x20ビット）など、追加のランダム化技術を用いる。
• BIND（一般的なDNSサーバ）の設定例（簡略）：

options {
  recursion yes;
  allow-recursion { 192.168.0.0/16; localhost; };  // 内部のみ許可
  allow-query { any; };  // 問合せは受けるが再帰は内部だけ
};

FAQ