平成29年度 春期 午前 問41

✓ これが正解イ再帰的な問合せに対しては，内部ネットワークからのものだけに応答するように設定する。

解説

外部からの再帰的な問合せを受け付けない設定が答えです。

設問は、DNS キャッシュサーバが外部から受けるキャッシュポイズニング攻撃への対策として適切なものを選ばせています。この攻撃は、キャッシュサーバが上位のサーバへ名前を問い合わせている最中に、攻撃者が本物より先に偽の応答を届け、誤った対応づけをキャッシュに残させるものです。ここから対策の向きは二つに絞れます。一つは外部の相手にそもそも名前を引かせないこと、もう一つは偽の応答が本物になりすますために合わせる値を毎回変えて当てにくくすることです。再帰的な問合せに答える相手を内部ネットワークからのものだけに限る設定は、前者にあたります。外部の攻撃者は問合せを起こさせられなくなるので、偽の応答を差し込む機会そのものが失われます。対策を読むときは、攻撃者にとって当てやすくなるのか当てにくくなるのかを一つずつ確かめると迷いません。

ほかの選択肢はなぜ違うのか

• ア外部ネットワークからの再帰的な問合せにも…：自分の管理する名前を答える役割と、他人の名前を代わりに引いてくる役割を一つの機器に持たせ、しかも外からの問合せに応じさせる案です。誰でも好きなときに名前を引かせられる状態になり、仕掛ける入口を自分から広げてしまいます。
• ウ再帰的な問合せを行う際の送信元のポート番…：問合せに使う送信元のポート番号を毎回同じ値にする案です。偽物が本物らしく見えるために合わせるべき値が一つ減るので、かえって当てられやすくなります。実際の運用はこれと逆で、番号を毎回ばらばらに選びます。
• エ再帰的な問合せを行う際のトランザクション…：問合せに付ける番号を毎回同じ値にする案です。この番号は十六ビットしかなく、固定してしまえば攻撃者は推測する手間さえ省けます。当てにくくするという向きから最も遠い選び方になります。