平成28年度春期 データベーススペシャリスト 午前Ⅱ 問21

公開範囲を切り分ける視点

DNSに関する情報が誰に、どの条件で、どこまで見えるものかを整理し、公開範囲の境界を判断する観点に注目してください。設定の目的や利用場面との対応も確認し、用語の印象だけで判断しないようにします。

この問題で問われていること

選択肢を読むときは、情報の公開対象と到達できる範囲が、どの前提や利用場面で変わるかという一点に絞って比較してください。個別の仕組みを暗記するより、境界を決める条件の違いを見ます。

視点

公開範囲を検討するときは、情報の種類そのものよりも、誰が利用する前提か、どの経路から参照されるか、意図した範囲と実際の範囲が一致しているかを順に整理します。用語の知名度や一般的な印象ではなく、設問で置かれた条件と目的の対応を確認するのが基本です。

確認ポイント

• 公開対象を表す条件と、利用者の範囲を分けて読む
• 参照できる範囲が前提条件によって変わるか確認する
• 目的に対して過不足のない公開かという観点で比べる

正解

ウ

解説

外部公開の必要がないDNS情報の読み出しを防ぐには、ゾーン情報を取得できるDNSサーバを適切に制限する設定が必要です。

理由

プライマリDNSサーバに保存されたゾーン情報は、ゾーン転送によって別のDNSサーバへ転送される。外部に公開する必要のない情報を攻撃者に読み出されないようにするには、ゾーン転送を利用できるDNSサーバを限定する。

比較

SOAレコードのシリアル番号はゾーン情報の更新管理、キャッシュ時間は外部DNSサーバに保持される期間、ラウンドロビンは複数の応答先を振り分ける設定であり、いずれもゾーン情報の読み出し相手を制限する設定ではありません。

選択肢ア

これは不正解だよ。SOAレコードのシリアル番号は、ゾーン情報の変更や更新を識別するための管理情報である。番号を更新しても、ゾーン情報を取得できるDNSサーバの範囲は制限されないため、外部からの不正な読み出しを防ぐ設定にはならない。

選択肢イ

これは不正解だよ。外部のDNSサーバにリソースレコードがキャッシュされる時間を短くする設定は、キャッシュ情報の保持期間を調整するものである。ゾーン情報を取得する相手を限定する設定ではないため、読み出し可能なDNSサーバの制御という設問の目的とは異なる。

選択肢ウ（正解）

これは正解だよ。ゾーン転送は、プライマリDNSサーバのゾーン情報を別のDNSサーバへ転送する仕組みである。転送を許可するDNSサーバを限定すれば、外部に公開する必要のない情報を取得できる相手を制御でき、攻撃者による読み出しの防止につながる。

選択肢エ

これは不正解だよ。ラウンドロビン設定は、同一の名前に対して複数の宛先を順番に応答するなど、アクセス先を分散するための設定である。ゾーン情報の転送や、情報を読み出せるDNSサーバの許可範囲を制御する機能ではない。

学習のポイント

ゾーン転送の許可先を制御する目的と、他のDNS設定の役割を区別する。