平成31年度 春期 午前Ⅱ 問11

✓ これが正解イDNS 問合せに使用する DNS ヘッダ内の ID を固定せずにランダムに変更する。

解説

DNS ヘッダの ID をランダムにして、偽の応答を当てにくくします。

DNS キャッシュポイズニングは、正規の応答より先に偽の応答を届け、DNS サーバのキャッシュに誤った情報を登録させる攻撃です。偽の応答が受け入れられるには、問合せに付けた ID などが一致していなければなりません。ID を固定せずにランダムに変えれば、攻撃者は値を予測しにくくなり、偽の応答が当たる見込みが下がります。送信元ポート番号も合わせてランダムにすると、当てるべき組合せはさらに増えます。

ほかの選択肢はなぜ違うのか

• アDNS サーバにおいて，侵入したマルウェ…：DNS サーバに侵入したマルウェアを隔離するのは、マルウェア対策の話です。キャッシュポイズニングは外から偽の応答パケットを受け入れさせる攻撃なので、その受理を防ぐ対策にはなりません。
• ウDNS 問合せに使用する送信元ポート番号…：送信元ポート番号を 53 番に固定すると、攻撃者は偽の応答の宛先ポートを推測しやすくなり、かえって偽の応答が当たりやすくなります。有効なのはポート番号をランダムにすることで、この記述は逆効果です。
• エ外部からの DNS 問合せに対しては，宛…：外部から届く DNS の問合せは、もともと宛先ポート番号 53 を使います。53 番のものだけに応答するという条件では何も絞り込めず、偽の応答を防げません。有効なのは外部からの再帰問合せを受け付けないことです。