令和4年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問21
テクノロジ／セキュリティDNS の再帰的な問合せを使ったサービス妨害攻撃（DNS リフレクタ攻撃）の踏み台にされないための対策はどれか。
出典：令和4年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問21
- アDNS サーバを DNS キャッシュサーバと権威 DNS サーバに分離し，インターネット側から DNS キャッシュサーバに問合せできないようにする。
- イ問合せがあったドメインに関する情報を Whois データベースで確認してから DNS キャッシュサーバに登録する。
- ウ一つの DNS レコードに複数のサーバの IP アドレスを割り当て，サーバへのアクセスを振り分けて分散させるように設定する。
- エほかの権威 DNS サーバから送られてくる IP アドレスとホスト名の対応情報の信頼性を，デジタル署名で確認するように設定する。
正解：ア
解説
DNS リフレクタ攻撃は，送信元 IP アドレスを詐称した問合せをオープンリゾルバに送り，増幅された応答を標的へ集中させる攻撃です。踏み台にされないためには，キャッシュサーバがインターネット側からの再帰問合せを受け付けないようにする必要があります。権威 DNS サーバとキャッシュサーバを分離し，キャッシュサーバへの問合せを内部からだけに限定するのが有効な対策です。
選択肢ごとの解説
- ア正しい。キャッシュサーバを権威サーバと分離し，インターネット側から問い合わせられないようにすればオープンリゾルバでなくなります。
- イ誤り。Whois で確認する運用は現実的でなく，送信元を詐称した問合せへの対策にもなりません。
- ウ誤り。これは DNS ラウンドロビンによる負荷分散の説明で，踏み台化の防止にはなりません。
- エ誤り。これは DNSSEC による応答の正当性検証で，キャッシュポイズニング対策です。