令和4年度春期 ネットワークスペシャリスト 午前Ⅱ 問18

漏えい経路と対策の対応を確かめる

DNSサーバの設定対策を考えるときは、まず守りたい情報が何かを押さえます。次に、その情報がどのような要求や通信を通じて外部に渡り得るかを整理し、各対策がその経路に実際に作用するかを確かめます。

この問題で問われていること

判断の中心は、対策が情報を外へ出してしまう経路を狭めるものか、それとも別の種類の脅威や運用上の目的に向いたものかを区別することです。対策の目的と効果が一致しているかに注目しましょう。

視点

セキュリティ対策は、どの脅威に対して、どの経路で効くかによって性質が決まります。漏えい防止を考えるときは、情報の持ち主、情報を受け取る相手、受け渡しのきっかけとなる要求の三つを整理します。そのうえで、対策がこのつながりのどこを制限するかを考えると判断しやすくなります。名前が似ていたり、同じ機器に関する設定だったりしても、防ぐ対象が違えば漏えい対策としての効果は変わります。

確認ポイント

• DNSサーバが保持している情報のうち、外部に知られると困るものは何かを自分の言葉で整理したか
• その情報が外部の第三者に渡る可能性のある要求や通信の経路を想定したか
• 検討中の対策が、想定した漏えい経路を実際に制限するものか、別の目的の対策かを区別したか

正解

ウ

解説

外部公開の必要がないDNS情報を攻撃者に読み出されないようにするには、ゾーン転送を利用できる接続元を限定する。これにより、許可されていないIPアドレスからのゾーン情報取得を防止できる。

理由

ゾーン転送は、プライマリDNSサーバが管理するゾーン情報を、セカンダリDNSサーバなどへまとめて転送する仕組みです。許可するIPアドレスを限定すれば、正当な転送先以外からの情報取得を抑止できる。

比較

SOAレコードのシリアル番号はゾーン更新の判定に使われ、キャッシュ時間の設定は情報の保持期間を調整する。ラウンドロビンは複数アドレスを順番に応答する負荷分散の方式であり、ゾーン情報の読み出し元を制限する設定ではありません。

選択肢ア

これは不正解だよ。SOAレコードのシリアル番号は、ゾーン情報が更新されたかどうかをセカンダリDNSサーバなどが判定するための番号である。番号を更新しても、外部の攻撃者がゾーン情報を取得できる接続元の範囲を制限することにはならない。

選択肢イ

これは不正解だよ。外部のDNSサーバにリソースレコードがキャッシュされる時間を短くする設定は、名前解決結果の保持期間を調整するものである。キャッシュの有効時間を変更しても、ゾーン転送などによる情報全体の取得を許可する相手は制限できない。

選択肢ウ（正解）

これは正解だよ。ゾーン転送を許可するIPアドレスを限定すると、ゾーン情報をまとめて取得できる接続元を正当な転送先などに絞り込める。外部に公開する必要のないレコードを、許可されていない攻撃者から読み出されることの防止につながる。

選択肢エ

これは不正解だよ。ラウンドロビンは、同一の名前に複数のIPアドレスを対応させ、応答するアドレスを順番に変える方式である。アクセス先の分散や簡易的な負荷分散には利用できるが、DNSゾーン情報を取得できる接続元の制限にはならない。

学習のポイント

ゾーン転送のアクセス制御と、DNS運用設定の役割の違いを理解する。