平成23年度秋期 情報処理安全確保支援士 午前Ⅱ 問8

会社のサーバー名リスト（ゾーン情報）を丸ごと引っこ抜かれないように、DNSの同期先を制限する

DNSサーバーの情報漏えい対策の問題だよ。DNSサーバーがドメイン内のすべての情報を一括コピーして予備サーバーへ渡す機能（ゾーン転送）を、誰でも実行できるように解放しておくと、悪者に「どんな社内システムやサーバーがあるか」のリストをすべてダウンロードされてしまうんだ。これを防ぐために、ゾーン転送を許可する相手をセカンダリDNSサーバーのIPアドレスだけに制限（限定）する必要があるよ。

この問題で問われていること

キャッシュ有効期限（TTL）や負荷分散（DNSラウンドロビン）と混同せず、「ドメイン内のホスト名一覧が漏洩するのを防ぐため、ゾーン転送要求を受け付けるサーバーを必要最小限に制限する」対策の重要性を答えよう。

ゾーン転送制御

無制限なゾーン転送を許すと、内部も含む名前情報を第三者へまとめて渡してしまうおそれがあります。許可先限定が基本です。

ゾーン転送先を限定\n-> 不要情報の流出を防ぐ

確認ポイント

• シリアル番号更新や TTL 短縮は本質対策ではありません。
• ラウンドロビンは負荷分散の設定です。
• ゾーン転送許可先の限定を選びます。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。SOAレコードのシリアル番号は、DNSの設定表の「版数」みたいなものだよ。設定を更新したことをセカンダリDNSに知らせるための番号であって、公開しなくてよいネットワーク情報を隠すための鍵ではないんだ。

選択肢イ

これは不正解だよ。キャッシュ時間を短くするのは、外のDNSサーバが情報を覚えておく時間を短くする設定だよ。賞味期限を短くするイメージで、古い情報が残りにくくなる効果はあるけど、そもそも第三者にゾーン情報を丸ごと見られないようにする対策ではないんだ。

選択肢ウ（正解）

これは正解だよ。ゾーン転送は、DNSの住所録を別のDNSサーバへコピーする仕組みなんだ。これを誰にでも許すと、泥棒に建物の見取り図を渡すようなものになるよ。だから、コピーを許す相手を信頼できるセカンダリDNSだけに限定するのが、公開不要な情報を攻撃に使われにくくする対策なんだ。

選択肢エ

これは不正解だよ。ラウンドロビンは、1つの店に複数の窓口を用意して、お客さんを順番に振り分けるような仕組みだよ。負荷分散には役立つけど、DNSに入っている内部情報を泥棒に見られないようにする対策ではないんだ。