令和元年度秋期 ネットワークスペシャリスト 午前Ⅱ 問21

対策の適用範囲を見極める視点

この問題では、個別の用語や設定を暗記するより、提案された対策がどの通信経路と管理範囲に作用するものかを整理し、目的との対応を一つの軸で確認します。選択肢同士を比べる際も、この対応関係を崩さずに読み取ってください。

この問題で問われていること

選択肢を読むときは、対策の対象・実施場所・期待する効果が同じ方向を向いているかに注目し、関係の薄い管理や別の目的を混同していないかを確認してください。判断の中心は、この三者の対応関係に絞ります。

視点

対策を評価する際は、守る対象と、実際に制御できる場所の対応を整理します。そのうえで、説明される目的と適用範囲が自然につながるかを比べ、細かな設定値や固有名詞だけで判断しないようにします。

確認ポイント

• 対策が対象としている通信や管理範囲を、選択肢の説明から整理できるか
• 実施する場所と期待される効果が、同じ目的に向けて対応しているか
• 固有の名称や一部の語句ではなく、対象・場所・目的の関係で説明を比較できるか

正解

ア

解説

DNSリフレクタ攻撃は、外部から再帰的な問合せを受け付けるDNSサーバが、攻撃対象への応答を大量に返す踏み台として悪用される攻撃です。

理由

キャッシュサーバとコンテンツサーバを分離し、インターネット側からキャッシュサーバへ問合せできないようにすると、外部から再帰的な名前解決を悪用される経路を遮断できる。したがって、踏み台化の防止策として適切です。

比較

Whois確認やDNSレコードの分散は、問合せの信頼性や負荷分散に関する対策であり、外部から再帰的問合せを受け付ける問題を直接解決しない。ディジタル署名は応答情報の真正性確認に用いるが、踏み台化の防止策とは異なる。

選択肢ア（正解）

これは正解だよ。キャッシュサーバとコンテンツサーバを分離し、インターネット側からキャッシュサーバへ問合せできないようにすれば、外部から再帰的な問合せを悪用されにくくなる。DNSサーバを応答の踏み台として利用される経路を制限するため、設問の対策に合致する。

選択肢イ

これは不正解だよ。Whoisデータベースでドメイン情報を確認してからキャッシュサーバへ登録する方法は、登録情報の確認に関する手順である。外部からDNSサーバへ再帰的な問合せを受け付けるかどうかを制限する対策ではないため、踏み台化の防止には直接つながらない。

選択肢ウ

これは不正解だよ。一つのDNSレコードに複数のIPアドレスを割り当ててアクセスを分散する設定は、負荷分散や可用性向上を目的とする。DNSサーバが外部から再帰的問合せを受け付ける状態を変更するものではないため、DNSリフレクタ攻撃の踏み台対策にはならない。

選択肢エ

これは不正解だよ。ほかのDNSサーバから送られたIPアドレスとホスト名の対応情報をディジタル署名で確認する設定は、DNS応答の真正性や改ざんの検証に関する対策である。外部からの再帰的問合せを制限するものではなく、踏み台化の防止策とは異なる。

学習のポイント

DNSサーバの役割分担と再帰的問合せの公開範囲を理解する。