平成28年度春期 システム監査技術者 午前Ⅱ 問21

DNSSECを考える確認の視点

DNSSECに関する設問では、用語の印象だけで判断せず、何を守るための仕組みとして説明しているのかを整理し、設問が求める観点との対応を落ち着いて確認します。

この問題で問われていること

一つの説明に注目し、対象となる情報、確認したい性質、利用される場面のつながりが自然かを、問題文の条件に沿って読み取ることに集中します。

視点

まず、設問が扱う対象と、それに対して期待される性質を分けて書き出します。そのうえで、説明の主語や目的が同じ範囲を指しているかを確認し、知識の連想ではなく条件との対応で整理します。

確認ポイント

• 説明が対象としているものと、設問で問われている性質が同じ範囲か確認する。
• 記述の目的や前提が、問題文で示された利用場面と無理なく対応しているか見る。
• 用語の印象や暗記だけに頼らず、対象・目的・条件の関係を一つの軸で整理する。

正解

イ

解説

DNSSECは、DNSのリソースレコードに付与されたディジタル署名を利用して、レコードの送信者の正当性とデータの完全性を検証する。再帰問合せの範囲設定、サーバの二重化、DNS更新要求の認証とは異なる機能です。

理由

DNSSECは、DNS応答のリソースレコードに対するディジタル署名を用いて、正当な情報源から提供されたレコードか、通信途中などで内容が改変されていないかを検証する仕組みです。

比較

再帰的な問合せの受付範囲はDNSサーバの設定、名前解決の可用性向上はセカンダリDNSによる冗長化、DNS更新要求の認証は動的更新のアクセス制御に関する事項であり、DNSSECの中心機能ではありません。

選択肢ア

これは不正解だよ。再帰的な問合せをどの範囲から受け付けるかは、DNSキャッシュサーバのアクセス制御や設定に関する事項である。DNSSECが行う、リソースレコードの正当性や完全性をディジタル署名で検証する機能を説明していない。

選択肢イ（正解）

これは正解だよ。DNSSECは、DNSサーバから受け取るリソースレコードに対するディジタル署名を利用し、レコードの送信者が正当であることと、データの完全性を検証する。これがDNSSECの基本的な機能である。

選択肢ウ

これは不正解だよ。ISPなどのセカンダリDNSサーバを利用してDNSコンテンツサーバを二重化することは、障害時にも名前解決を継続しやすくする可用性対策である。署名によるデータ検証を行うDNSSECの機能とは異なる。

選択肢エ

これは不正解だよ。DNS更新要求を許可されたエンドポイントからのものか確認するのは、動的なDNS更新に対するアクセス制御や認証の説明である。DNSSECの主な役割は、リソースレコードの署名を検証して正当性と完全性を確認することである。

学習のポイント

DNSSECの認証対象と、DNS運用上の設定・可用性対策を区別して理解する。