情報処理安全確保支援士 2017年春期午前2 問06

問題文

DNS水責め攻撃(ランダムサブドメイン攻撃)の手口と目的に関する記述のうち、適切なものはどれか。

選択肢

ア：ISPが管理するDNSキャッシュサーバに対して、送信元を攻撃対象のサーバのIPアドレスに詐称してランダムかつ大量に生成したサブドメイン名の問合せを送り、その応答が攻撃対象のサーバに送信されるようにする。

イ：オープンリゾルバとなっているDNSキャッシュサーバに対して、攻撃対象のドメインのサブドメイン名をランダムかつ大量に生成して問い合わせ、攻撃対象の権威DNSサーバを過負荷にさせる。（正解）

ウ：攻撃対象のDNSサーバに対して、攻撃者が管理するドメインのサブドメイン名をランダムかつ大量に生成してキャッシュさせ、正規のDNSリソースレコードを強制的に上書きする。

エ：攻撃対象のWebサイトに対して、当該ドメインのサブドメイン名をランダムかつ大量に生成してアクセスし、非公開のWebページの参照を試みる。

DNS水責め攻撃(ランダムサブドメイン攻撃)の手口と目的に関する問題【午前2 解説】

要点まとめ

結論：DNS水責め攻撃はオープンリゾルバのDNSキャッシュサーバに大量のランダムサブドメイン名を問い合わせ、権威DNSサーバを過負荷にする攻撃です。
根拠：攻撃は権威DNSサーバの負荷増大を狙い、正規のDNSリソースを直接改ざんするものではありません。
差がつくポイント：送信元詐称やキャッシュ上書き、Webアクセスによる非公開情報取得とは異なる攻撃手法である点を理解しましょう。

正解の理由

選択肢イは、オープンリゾルバとなっているDNSキャッシュサーバに対して、攻撃対象のドメインのサブドメイン名をランダムかつ大量に問い合わせることで、権威DNSサーバに過剰な負荷をかける攻撃手法を正しく説明しています。
この攻撃は、権威DNSサーバが存在しないサブドメインの問い合わせに対応するために大量の処理を強いられ、結果としてサービス妨害（DoS）状態を引き起こします。

よくある誤解

DNS水責め攻撃は送信元IPの詐称やキャッシュの改ざんを目的とするものではありません。Webサイトへのアクセスによる情報収集攻撃とも異なります。

解法ステップ

DNS水責め攻撃の目的を「DNSサーバの過負荷」に絞る。
ランダムサブドメイン名を大量に生成し問い合わせる点を確認。
攻撃対象が「権威DNSサーバ」であることを理解。
オープンリゾルバのDNSキャッシュサーバを経由する点を押さえる。
選択肢の説明と攻撃の特徴を照合し、正しいものを選ぶ。

選択肢別の誤答解説

ア: 送信元を攻撃対象サーバに詐称する手法はDNS水責め攻撃の特徴ではなく、DNSリフレクション攻撃に近い。
イ: 正解。オープンリゾルバを利用し権威DNSサーバを過負荷にする典型的な攻撃手法。
ウ: DNSリソースレコードの強制上書きはDNSキャッシュポイズニングの手法であり、水責め攻撃とは異なる。
エ: Webサイトへの大量アクセスはブルートフォースや情報収集攻撃であり、DNS水責め攻撃の説明として不適切。

補足コラム

DNS水責め攻撃は、DNSの仕組みの弱点を突いたDoS攻撃の一種です。オープンリゾルバは誰でも問い合わせ可能なDNSキャッシュサーバであり、これを悪用されると権威DNSサーバに過剰な負荷がかかります。対策としてはオープンリゾルバの閉鎖やDNSキャッシュサーバのアクセス制限が有効です。

FAQ

Q: DNS水責め攻撃とDNSリフレクション攻撃の違いは何ですか？
A: DNS水責め攻撃は権威DNSサーバを過負荷にするためにランダムサブドメインを大量に問い合わせる攻撃で、DNSリフレクション攻撃は送信元IPを詐称して大量の応答を攻撃対象に送りつける攻撃です。

Q: なぜオープンリゾルバが攻撃に利用されるのですか？
A: オープンリゾルバは誰でも問い合わせ可能なため、攻撃者が大量の問い合わせを送ることで権威DNSサーバに負荷をかけやすいからです。

関連キーワード: DNS水責め攻撃、ランダムサブドメイン攻撃、オープンリゾルバ、権威DNSサーバ、DoS攻撃

← 前の問題へ次の問題へ →

\ せっかくなら /

情報処理安全確保支援士を
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！