平成22年度春期 情報処理安全確保支援士 午前Ⅱ 問7

DNSサーバーの「住所録丸ごとコピー（ゾーン転送）」を、信頼できるサーバーだけに制限して情報漏えいを防ぐ

DNSサーバーのセキュリティ設定の問題だよ。DNSサーバーが管理しているドメイン内のすべての住所情報（ゾーン情報）を、別の予備サーバーに同期するためにコピーする仕組みを「ゾーン転送」と呼ぶんだ。もし誰にでもゾーン転送を許可してしまうと、悪者にネットワーク構成（どんな名前のサーバーが何台あるか）を丸ごと盗み見られて、次の攻撃の足がかりにされちゃうので、転送先は許可したIPアドレスだけに制限する必要があるよ。

この問題で問われていること

キャッシュ汚染対策や負荷分散（ラウンドロビン）と区別して、「DNSのゾーン情報を丸ごと引き出されないように、ゾーン転送できる相手（セカンダリDNSなど）を制限する」対策の必要性を答えよう。

ゾーン転送制御

ゾーン転送を誰にでも許すと、内部向けを含む名前情報をまとめて取得されるおそれがあります。許可先 DNS サーバを限定する必要があります。

ゾーン転送先を登録・限定\n-> 不要な情報公開を防ぐ

確認ポイント

• シリアル番号更新や TTL 短縮は本質的な対策ではありません。
• ラウンドロビンは負荷分散のための設定です。
• ゾーン転送先を限定する設定を選びます。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。SOAレコードのシリアル番号は、DNSのゾーン情報の版番号みたいなものだよ。書類に『第2版』と書くようなもので、セカンダリDNSに更新を知らせる役には立つけど、第三者が情報を読み出すのを止める鍵にはならないよ。

選択肢イ

不正解だよ。キャッシュ時間を短くするのは、外のDNSサーバが古い住所録を長く持ち続けないようにする設定なんだ。掲示板の貼り紙を早めに貼り替えるような話で、秘密の住所録そのものを盗み見されるのを防ぐ対策ではないよ。

選択肢ウ（正解）

正解だよ。ゾーン転送は、DNSの住所録を別のDNSサーバへ丸ごとコピーする仕組みなんだ。これを誰にでも許すと、泥棒に家中の見取り図を渡すようなものになるよ。だから、コピーを許す相手を信頼できるDNSサーバだけに限定するのが、公開不要な情報を守る対策になるよ。

選択肢エ

不正解だよ。ラウンドロビンは、同じ名前に複数のサーバを割り当てて、アクセスを順番に振り分ける設定なんだ。お店の窓口を複数にして混雑を分ける感じで、外部に見せたくないDNS情報を泥棒に読まれないようにする対策ではないよ。