平成31年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11

解説

DNS キャッシュポイズニング攻撃は，攻撃者が DNS キャッシュサーバに対して，正規の権威 DNS サーバからの応答を装った偽の応答パケットを送り込み，キャッシュに偽の情報を記憶させる攻撃です。攻撃者は，DNS キャッシュサーバが送信した問合せパケットのトランザクション ID（DNS ヘッダ内の ID）や送信元ポート番号などを推測し，それらが一致する偽の応答を先回りして送り返すことでこの攻撃を成立させます。したがって，DNS 問合せに使用する DNS ヘッダ内の ID を固定せずにランダムに変更すれば，攻撃者が正しい ID を推測することが困難になり，偽の応答が受理されにくくなるため，有効な対策となります。

選択肢ごとの解説

• ア誤り。DNS サーバに侵入したマルウェアをリアルタイムに隔離する対策は，マルウェア感染への対処であり，正規の問合せに対して偽の応答を送り込むキャッシュポイズニング攻撃そのものへの対策ではありません。
• イ正しい。DNS 問合せに使用する DNS ヘッダ内の ID を固定せずにランダムに変更すれば，攻撃者が偽の応答を受理させるために必要な ID を推測しにくくなり，キャッシュポイズニング攻撃に対して有効です。
• ウ誤り。送信元ポート番号を 53 番に固定してしまうと，攻撃者が推測すべき要素が ID だけになり，かえって偽の応答を推測されやすくなるため，対策として有効ではありません。
• エ誤り。宛先ポート番号 53 のものだけに応答することは通常の DNS 問合せの受付条件にすぎず，正規の問合せに対する偽の応答を見分けるものではないため，キャッシュポイズニング攻撃への対策にはなりません。