令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問5
テクノロジ／セキュリティDNS に対するカミンスキー攻撃（Kaminsky's attack）への対策はどれか。
出典：令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問5
- アDNS キャッシュサーバと権威 DNS サーバとの計 2 台の冗長構成とすることによって，過負荷によるサーバダウンのリスクを大幅に低減させる。
- イSPF（Sender Policy Framework）を用いて DNS リソースレコードを認証することによって，電子メールの送信元ドメインが詐称されていないかどうかを確認する。
- ウ問合せ時の送信元ポート番号をランダム化することによって，DNS キャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。
- エプレースホルダを用いたエスケープ処理を行うことによって，不正な SQL 構文による DNS リソースレコードの書換えを防ぐ。
正解：ウ
解説
カミンスキー攻撃は，DNS キャッシュサーバに偽の応答パケットを大量に送り付け，正規の権威 DNS サーバからの応答が届く前に偽の応答をキャッシュさせる，DNS キャッシュポイズニングの一種です。偽の応答を正規のものと誤認させるには，問合せ ID と送信元ポート番号を一致させる必要があるため，送信元ポート番号をランダム化することで推測を困難にし，攻撃の成功確率を大幅に低減できます。
選択肢ごとの解説
- ア誤り。冗長構成はサーバダウンなどの可用性対策であり，キャッシュポイズニングを狙うカミンスキー攻撃への対策にはなりません。
- イ誤り。SPF は電子メールの送信元ドメインの詐称を検知する仕組みであり，DNS キャッシュポイズニングへの対策ではありません。
- ウ正しい。送信元ポート番号をランダム化することで，偽の応答パケットが問合せ ID とポート番号の両方を一致させることを困難にし，キャッシュポイズニングの成功確率を大幅に低減させます。
- エ誤り。プレースホルダによるエスケープ処理は SQL インジェクション対策であり，DNS への攻撃とは無関係です。