平成26年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問9

✓ これが正解イ再帰的な問合せに対しては，内部ネットワークからのものだけに応答するように設定する。

解説

再帰的な問合せには、内部からのものだけに応答させます。

キャッシュポイズニングは、DNS キャッシュサーバに偽の応答を受け取らせ、誤った情報をキャッシュに残させる攻撃です。攻撃者は、キャッシュサーバが外部へ問合せをしたタイミングを狙い、本物の応答より先に偽の応答を届けようとします。キャッシュサーバが外部ネットワークからの再帰的な問合せにも応じると、攻撃者は好きな時に問合せを起こさせ、偽の応答を送り込む機会をいくらでも作れます。内部ネットワークからの問合せだけに応答するよう設定すれば、その機会を大きく減らせます。対策の軸は、攻撃の機会を与えないことと、偽の応答を当てにくくすることです。

ほかの選択肢はなぜ違うのか

• ア外部ネットワークからの再帰的な問合せに応…：コンテンツサーバにキャッシュサーバを兼ねさせ、外部からの再帰的な問合せにも応答させると、攻撃者がいつでも問合せを起こせる状態になります。攻撃を助けてしまう設定で、対策とは逆です。
• ウ再帰的な問合せを行う際の送信元のポート番…：送信元のポート番号を固定すると、偽の応答に書き込むべき値を攻撃者が推測しやすくなります。安全にするにはポート番号を問合せごとにランダムに変えるべきで、固定は逆効果です。
• エ再帰的な問合せを行う際のトランザクション…：トランザクション ID を固定すると、攻撃者は正しい ID を付けた偽の応答を簡単に作れます。ID は推測されにくいようにランダムに選ぶべきもので、固定すれば攻撃が楽になります。