平成30年度 秋期 応用情報技術者試験 午前 問39
テクノロジ／セキュリティDNSキャッシュサーバに対して外部から行われるキャッシュポイズニング攻撃への対策のうち，適切なものはどれか。
出典：平成30年度 秋期 応用情報技術者試験 午前 問39
- ア外部ネットワークからの再帰的な問合せにも応答できるように，コンテンツサーバにキャッシュサーバを兼ねさせる。
- イ再帰的な問合せに対しては，内部ネットワークからのものだけを許可するように設定する。
- ウ再帰的な問合せを行う際の送信元のポート番号を固定する。
- エ再帰的な問合せを行う際のトランザクションIDを固定する。
正解：イ
解説
キャッシュポイズニング攻撃は，外部から偽の応答をキャッシュサーバに送り込んで偽の情報をキャッシュさせる攻撃です。対策として，再帰的な問合せ（他ドメインの名前解決の代行）を内部ネットワークからのものだけに制限することで，外部からの偽装応答を受け付けにくくできます。
選択肢ごとの解説
- ア誤り。コンテンツサーバにキャッシュサーバを兼ねさせると，外部からの再帰的問合せにも応答してしまい，かえって攻撃を受けやすくなります。
- イ正しい。再帰的な問合せを内部ネットワークからのものだけに限定することで，外部からのキャッシュポイズニング攻撃を防ぎやすくなります。
- ウ誤り。送信元ポート番号を固定すると，攻撃者が偽の応答を送り込む際に必要な情報を推測しやすくなり，対策として逆効果です。
- エ誤り。トランザクションIDを固定すると，同様に攻撃者に推測されやすくなり，キャッシュポイズニング対策としては不適切です。