令和4年度春期 ネットワークスペシャリスト 午前Ⅱ 問21

踏み台化対策を見極める視点

踏み台化とは自組織のサーバが第三者への攻撃に利用される状態です。自サーバを守る対策と、自サーバが他者を害する加担を防ぐ対策とは目的が異なります。各対策が誰を守り、どこに作用するのかを意識して検討しましょう。

この問題で問われていること

確認する観点は一つ、「その対策は誰を保護する目的のものか」です。サーバ自身を守ることと、外部の第三者を被害から守ることを区別し、対策の目的と問われている目的が一致しているかを照らし合わせてください。

視点

セキュリティ対策は、守る対象によって整理できます。自組織の資産を侵入や改ざんから守る対策もあれば、自組織の設備が加害側として悪用されないようにする対策もあります。どちらも有益ですが目的は異なるため、ある対策が有効かどうかは、何を防ぐことを求められているかで判断が変わります。対策の名称から印象で決めず、その対策が誰に対して、どのような働きをするのかを言葉にして整理することが、この分野を学ぶうえでの基本的な手順です。

確認ポイント

• 問われている被害者は自組織か外部の第三者かを確認する
• 検討する対策が守る対象は誰なのかを自分の言葉で説明してみる
• その対策の目的が問われている目的と一致しているかを照らし合わせる

正解

ア

解説

DNSリフレクタ攻撃は、外部から再帰的なDNS問合せを受け付けるサーバが、応答を利用されて攻撃の踏み台になる問題です。そのため、DNSサーバの役割分担と外部からの問合せ制御が対策の中心となる。

理由

DNSリフレクタ攻撃では、攻撃者が送信元を偽装してDNSサーバに問合せを行い、サーバからの応答を別の標的へ向けさせる。外部から再帰的な問合せを受け付ける設定を制限することが、踏み台化の防止につながる。

比較

DNSキャッシュサーバと権威DNSサーバを分離し、インターネット側からキャッシュサーバへ問合せできないようにする構成は、外部からの再帰問合せを制限する。Whois確認、アクセス分散、デジタル署名は、それぞれ別の目的の機能です。

選択肢ア（正解）

これは正解だよ。DNSキャッシュサーバと権威DNSサーバを分離し、インターネット側からDNSキャッシュサーバへ問合せできないようにすれば、外部から再帰的な問合せを受け付ける範囲を制限できる。これにより、DNSサーバがリフレクタ攻撃の踏み台として悪用される可能性を下げられる。

選択肢イ

これは不正解だよ。Whoisデータベースでドメイン情報を確認してからDNSキャッシュサーバに登録する方法は、登録情報の確認に関する手順である。DNSリフレクタ攻撃の原因となる、インターネット側からの再帰的な問合せを受け付ける設定を制限する対策にはなっていない。

選択肢ウ

これは不正解だよ。一つのDNSレコードに複数のサーバのIPアドレスを割り当ててアクセスを分散する設定は、負荷分散や可用性向上を目的とする。DNSサーバが外部から再帰的な問合せを受け付け、攻撃の踏み台になることを防ぐ設定とは異なる。

選択肢エ

これは不正解だよ。ほかの権威DNSサーバから送られるIPアドレスとホスト名の対応情報をデジタル署名で確認する設定は、DNS情報の改ざんや偽装を検証するためのものである。外部からの再帰的な問合せを制限するDNSリフレクタ攻撃対策とは目的が異なる。

学習のポイント

DNSの再帰問合せと、権威DNSサーバ・キャッシュサーバの役割を整理する。