平成25年度秋期 情報処理安全確保支援士 午前Ⅱ 問14

午前II 問14：DNSアンプ攻撃の踏み台にされないDNS設定

DNSアンプ攻撃で悪用されないようにするには、「外向けに名前を教えるDNS」と「社内など限られた人のために調べ物をするDNS」を分けるのが大事だよ。たとえるなら、受付窓口と社内専用の調査係を別にして、外部の知らない人が調査係を勝手に使えないようにするイメージだね。つまり、インターネット側からキャッシュDNSサーバへ再帰的問合せをできないようにする設定が有効だよ。

この問題で問われていること

この問題で見抜きたいポイントは、DNSSECで署名する話や負荷分散の話ではなく、「誰でも使えるオープンリゾルバ」にならないようにする設定を選べるかどうかだよ。外部の人にキャッシュDNSの再帰的問合せを使わせない、という視点で考えよう。

DNS amp 踏み台防止

誰からでも再帰問合せを受け付けるキャッシュサーバは DNS amp の踏み台になりやすい。公開用権威サーバと内部向けキャッシュサーバを分けるのが基本です。

権威サーバとキャッシュサーバを分離\n外部から再帰問合せ不可\n-> 踏み台化防止

確認ポイント

• Whois 参照やラウンドロビン設定では対策にならない。
• ディジタル署名確認は DNSSEC の文脈です。
• 外部からキャッシュサーバへ問合せできないようにする設定を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

正解だよ。キャッシュサーバは、利用者の代わりにDNSを調べて結果を一時保存する窓口のようなものだよ。これをインターネット中の誰でも使える状態にすると、悪用されたり偽情報を入れられたりする危険があるんだ。だから、住所録を持つコンテンツサーバと、社内向けの調べ物係であるキャッシュサーバを分けて、外部の知らない人がキャッシュサーバに問合せできないようにするのが適切だよ。

選択肢イ

不正解だよ。Whoisはドメインの登録者情報を見るための名簿のようなものだよ。DNSの問合せに対して返ってきたIPアドレスが安全かどうかを毎回Whoisで確認する仕組みではないんだ。たとえるなら、荷物の届け先を確認したいのに、会社の登記簿を見に行っている感じで、目的がずれているよ。

選択肢ウ

不正解だよ。これはDNSラウンドロビンの説明で、複数のサーバにアクセスを分散するための設定だよ。お店のレジを何台か用意してお客さんを振り分けるようなものだね。負荷分散には役立つけれど、DNSの不正利用や偽情報の混入を防ぐ対策ではないよ。

選択肢エ

不正解だよ。ディジタル署名でDNS情報の正しさを確認するのはDNSSECの考え方で、偽の住所録を見抜くには役立つよ。でもこの問題で問われている対策は、外部からキャッシュサーバを勝手に使わせない設定だよ。たとえるなら、身分証付きの郵便物か確認する話であって、そもそも知らない人を社内の受付に入れない話とは少し違うんだ。