平成29年度秋期 ネットワークスペシャリスト 午前Ⅱ 問21

対策の目的と適用範囲を整理する

この分野では、個別の用語を暗記する前に、対策が何を抑えようとしているのか、どの構成要素や運用段階に関係するのかを分けて整理し、設問の条件との対応を落ち着いて確認します。

この問題で問われていること

選択肢を読むときは、対策の目的と適用範囲が、設問で示される攻撃の前提や管理対象と同じ層にあるかを一つの軸として比べ、一般論だけで判断せず、設問に置かれた条件を優先して照合します。

視点

攻撃対策を整理するときは、名称や印象から結論を出さず、対策の目的、対象となる範囲、実施される段階を同じ表に置くように考えます。そのうえで、設問が示す条件と各要素の対応を確認し、目的と適用範囲のずれがないかを丁寧に見ます。個別の方式や数値を覚えることより、条件との対応関係を読むことを優先してください。

確認ポイント

• 対策が抑えようとする対象を、設問の前提と同じ粒度で捉えているか
• 対策の適用範囲が、想定される構成要素や運用場面と一致しているか
• 目的と適用範囲の対応を、用語の印象だけでなく条件全体から確認したか

正解

ア

解説

DNSアンプ攻撃は、再帰問合せに応答するDNSサーバを踏み台として、攻撃対象へ大量の応答を送らせる攻撃です。外部からキャッシュサーバを再帰利用できない構成にすると、踏み台として悪用される可能性を低減できます。

理由

DNSアンプ攻撃では、攻撃者が送信元を偽装して再帰的な問合せを行い、DNSサーバからの応答を標的へ集中させます。そのため、インターネット側から再帰問合せを受け付けないようにし、外部利用者がキャッシュサーバを踏み台にできない構成にすることが有効です。

比較

Whois確認やディジタル署名は、登録情報やDNS応答の信頼性に関係する対策です。また、複数IPアドレスへの分散は負荷分散の設定であり、再帰問合せを外部から利用される問題を直接防ぐものではありません。

選択肢ア（正解）

これは正解だよ。DNSサーバをキャッシュサーバとコンテンツサーバに分離し、インターネット側からキャッシュサーバへ問合せできないようにすれば、外部の攻撃者がキャッシュサーバの再帰機能を利用して応答を踏み台にすることを防止できます。DNSアンプ攻撃への直接的な対策です。

選択肢イ

これは不正解だよ。Whoisデータベースでドメイン情報を確認してからキャッシュへ登録する方法は、登録情報の確認に関する手順です。DNSアンプ攻撃で問題となる、外部から再帰的な問合せを受け付けて応答を踏み台にされる状態を制限する対策にはなっていません。

選択肢ウ

これは不正解だよ。一つのDNSレコードに複数のIPアドレスを割り当ててアクセスを分散する設定は、負荷分散や可用性向上を目的とするものです。DNSサーバが外部から再帰問合せを受け付ける設定自体は変わらないため、アンプ攻撃の踏み台化を防ぐ根拠にはなりません。

選択肢エ

これは不正解だよ。ディジタル署名によってIPアドレスとホスト名の対応情報を確認する設定は、DNS情報の改ざんや信頼性を検証するためのものです。正しい情報を確認できても、外部から再帰問合せを受け付けて大量応答を返す構成は残るため、踏み台化の防止策とは異なります。

学習のポイント

DNSの役割分離と再帰問合せのアクセス制御を理解する。