令和4年度秋期 システム監査技術者 午前Ⅱ 問22

DNSSECを考えるための確認視点

DNSSECに関する選択肢を比べるときは、個別の用語を暗記するより、何を保証しようとしている仕組みなのか、どの範囲の説明なのかを整理して読み進めることが大切です。

この問題で問われていること

この問題では、名前解決に関わる説明を読んだうえで、仕組みの目的と、利用時に扱われる情報の役割が同じ観点で説明されているかを、文脈に沿って丁寧に確認することに集中しましょう。

視点

DNSSECを学ぶ際は、登場する情報を役割ごとに分け、利用者が確認したい対象、検証の対象、運用上の前提を混同しないように整理します。選択肢は、説明の対象と主張の範囲が対応しているかという観点で読み比べます。

確認ポイント

• 説明が扱っている対象と、保証しようとしている内容が対応しているか確認する。
• 用語の役割を一つに決めつけず、前後の説明との関係を確認する。
• 仕組みの説明と運用上の条件が、同じ論点として混在していないか確認する。

正解

エ

解説

DNSSECは、DNS応答に付加されたデジタル署名を検証することで、応答内容が正当なものかを確認できる仕組みです。DoS攻撃の防止、IPsecによる暗号化、BINDの代替を目的とする技術ではありません。

正答の理由

DNSSECはDNSデータに対するデジタル署名を利用し、DNS応答を受け取った側が、その応答の正当性を検証できるようにする。したがって、DNS応答の正当性を確認できるとするエが適切です。

選択肢の比較

DNSSECの中心はDNS情報の認証と完全性の検証であり、DNSサーバへのDoS対策、IPsecによる通信暗号化、BINDなどのDNSサーバ実装の置換を直接目的とするものではありません。

選択肢ア

これは不正解だよ。DNSSECはDNS応答の正当性を検証する仕組みであり、DNSサーバへのDoS攻撃そのものを防止する技術ではない。DoS対策には、冗長化、アクセス制御、トラフィック分散など別の対策が必要になる。

選択肢イ

これは不正解だよ。DNSSECはIPsecによる暗号化通信を前提とする仕組みではない。DNS応答に関するデジタル署名を検証することで正当性を確認する技術であり、通信経路をIPsecで暗号化することとは目的と仕組みが異なる。

選択肢ウ

これは不正解だよ。DNSSECはBINDのようなDNSサーバ実装を置き換えるソフトウェアや方式ではない。DNSの名前解決における応答の正当性を検証するための仕組みであり、DNSサーバ実装とは役割が異なる。

選択肢エ（正解）

これは正解だよ。DNSSECでは、DNS応答に付加されたデジタル署名を検証することによって、受信したDNS情報が正当なものかを確認できる。したがって、DNS応答の正当性を確認できるという説明がDNSSECの特徴に合致する。

学習のポイント

DNSSECの目的と、暗号化・可用性対策・サーバ実装との違いを整理する。