令和6年度秋期 システム監査技術者 午前Ⅰ 問15

通信情報の信頼性を確認する視点

この問題では、個別の用語や対策を暗記するより、通信で参照される情報がどの段階で作られ、どの主体によって受け入れられるかを整理し、信頼性を評価する観点に絞って考えます。

この問題で問われていること

選択肢を読むときは、情報の取得から利用までの流れに注目し、どの確認や境界が信頼性の判断に関係する説明なのかを見分けてください。具体的な方式名や手順ではなく、役割の対応関係を確認します。

視点

通信に関する情報は、生成・伝達・保存・利用という複数の段階を経て扱われます。各選択肢がどの段階と責任主体を指しているかを対応づけ、信頼性を確かめる視点で整理しましょう。

確認ポイント

• 情報が扱われる段階を区別できているか
• 確認を担う主体と利用する主体を混同していないか
• 説明が信頼性の評価に直接関係する内容か

正解

イ

解説

DNSキャッシュポイズニングは、攻撃者がDNS問合せに対応する偽応答を先回りして送り、誤った名前解決結果をキャッシュさせる攻撃です。問合せと応答を対応付ける識別情報を予測されにくくすることが有効です。

理由

DNSヘッダーのIDを問合せごとにランダムに変更すると、攻撃者が正しい問合せを推測して偽応答を受け入れさせることが難しくなる。したがって、識別情報の予測困難性を高めるイが有効な対策です。

比較

他の選択肢は、DNSキャッシュポイズニングで攻撃者が偽応答を成立させる条件を直接減らしていない。マルウェア隔離、送信元ポートの固定、宛先ポートだけの制限は、問合せと応答の対応確認を強化する対策とは異なる。

選択肢ア

これは不正解だよ。DNSサーバ内に侵入したマルウェアをリアルタイムに隔離することは、サーバ内部の不正プログラム対策に関する説明である。DNSキャッシュポイズニングは、攻撃者が偽のDNS応答を送り付けて誤った情報をキャッシュさせる攻撃なので、この選択肢は問合せと応答の識別情報を予測されにくくする対策になっていない。

選択肢イ（正解）

これは正解だよ。DNS問合せに使用するヘッダー内のIDを固定せず、問合せごとにランダムに変更すると、攻撃者が正しいIDを推測して偽の応答を成立させることが難しくなる。DNSキャッシュポイズニングへの対策として、問合せと応答の対応付けに使う識別情報の予測困難性を高めている。

選択肢ウ

これは不正解だよ。DNS問合せに使用する送信元ポート番号を53番に固定すると、通信に使う値が予測しやすくなる。DNSキャッシュポイズニングでは、攻撃者が偽応答を正規の応答として受け入れさせることを狙うため、送信元ポートを固定することは予測困難性を高める対策にならず、設問の目的に適合しない。

選択肢エ

これは不正解だよ。外部からのDNS問合せに対し、宛先ポート番号53のものだけに応答する制御は、DNSサービスが通常利用するポートへの通信を選別する説明である。しかし、DNSキャッシュポイズニングの本質である偽応答の受入れを防ぐには、問合せと応答を対応付ける識別情報の予測困難性などが重要であり、この条件だけでは十分な対策にならない。

学習のポイント

DNSの識別情報とポート番号が偽応答対策で果たす役割を整理する。