平成24年度春期 情報処理安全確保支援士 午前Ⅱ 問14

午前II 問14：公開された再帰DNSは攻撃の踏み台になるよ

再帰DNSを誰でも使える状態でインターネットに公開していると、攻撃者に悪用されることがあるよ。たとえば、小さな依頼を投げるだけで大きな返事を返す“拡声器”みたいに使われて、DNS増幅攻撃の踏み台になってしまうんだ。だから基本対策は、外部の人が勝手に再帰問合せできないように設定することだよ。

この問題で問われていること

公開再帰DNSを放置すると、DNS増幅攻撃に悪用される危険があると理解できているかを確認する問題だよ。

DNS Amplification Defense

to prevent DNS amplification abuse、 do not expose a recursive caching DNS server to the Internet

recursive DNS answers external queries\ncan amplify traffic\nblock public recursive access

確認ポイント

• 公開再帰をやめる。
• キャッシュ DNS を外へ開かない。
• DNSSEC とは別論点です。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。DNS amp攻撃の踏み台にされるのは、外部の誰でも使えるキャッシュDNSサーバがあるときなんだ。例えるなら、知らない人でも使える無料電話窓口を置いておくと、攻撃者に勝手に大量発信の中継所として使われる感じだよ。キャッシュサーバとコンテンツサーバを分けて、インターネット側からキャッシュサーバへ問い合わせできないようにすれば、知らない人の依頼を受けない窓口になるので踏み台化を防げるよ。

選択肢イ

これは不正解だよ。Whoisでドメイン情報を調べるのは、住所録で持ち主を確認するようなものだよ。DNS amp攻撃では、攻撃者がDNSサーバに大量の問い合わせを投げて、返事を被害者へ飛ばさせるのが問題なんだ。ドメインの持ち主を調べても、勝手に窓口として使われること自体は止められないよ。

選択肢ウ

これは不正解だよ。1つの名前に複数のIPアドレスを割り当ててアクセスを分散するのは、飲食店でお客さんを複数のレジに振り分けるような「負荷分散」の話だよ。DNS amp攻撃の踏み台対策は、知らない人からのDNS問い合わせを受けないようにすることなので、目的が違うんだ。

選択肢エ

これは不正解だよ。デジタル署名でDNSの答えが本物か確認する仕組みは、偽の住所メモをつかまされる「DNSキャッシュポイズニング」対策には役立つよ。でも今回のテーマは、DNSサーバを攻撃の中継役、つまり泥棒に勝手に使われる踏み台にされないこと。本人確認のハンコを確認しても、そもそも見知らぬ人の依頼を受け付けていたら踏み台問題は防げないんだ。