平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6
テクノロジ／セキュリティDNS に対するカミンスキー攻撃（Kaminsky's attack）への対策はどれか。
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6
- アDNS キャッシュサーバと権威 DNS サーバとの計2 台の冗長構成とすることによって，過負荷によるサーバダウンのリスクを大幅に低減させる。
- イSPF（Sender Policy Framework）を用いて MX レコードを認証することによって，電子メールの送信元ドメインが詐称されていないかどうかを確認する。
- ウ問合せ時の送信元ポート番号をランダム化することによって，DNS キャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。
- エプレースホルダを用いたエスケープ処理を行うことによって，不正な SQL 構文による DNS リソースレコードの書換えを防ぐ。
正解：ウ
解説
カミンスキー攻撃は，DNS キャッシュサーバに偽の応答を送り込み，キャッシュポイズニングを引き起こす攻撃手法です。攻撃者は正規の応答が届く前に大量の偽応答を送りつけますが，その際に送信元ポート番号やトランザクションIDを推測する必要があります。問合せ時の送信元ポート番号をランダム化することで，偽応答が正規の問合せと一致する確率を大幅に下げ，キャッシュポイズニングの成功率を低減できます。
選択肢ごとの解説
- ア誤り。DNS サーバの冗長構成は過負荷対策であり，カミンスキー攻撃（キャッシュポイズニング）への対策ではありません。
- イ誤り。SPF による送信元ドメインの認証は送信ドメイン認証技術であり，迷惑メール対策です。カミンスキー攻撃への対策ではありません。
- ウ正しい。問合せ時の送信元ポート番号をランダム化することによって，偽の応答が正規の問合せと一致する確率を大幅に下げ，キャッシュポイズニングを防ぎます。
- エ誤り。プレースホルダを用いたエスケープ処理はSQLインジェクション対策であり，カミンスキー攻撃とは無関係です。