SC情報処理安全確保支援士試験午後Ⅰ

平成25年度春期情報処理安全確保支援士午後Ⅰ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

DNSの名前解決通信は，主にUDPを用いる。UDPは，TCPと比べると送信元IPアドレスの詐称の検知が難しく，キャッシュポイズニング攻撃の原因ともなっている。ファイアウォールの方式設計においてはIPアドレス詐称対策を考慮する必要がある。さらに，インターネットに公開されているサーバの名前解決の方式設計においてはキャッシュポイズニング対策を考慮する必要がある。本問では，送信元IPアドレスを詐称した攻撃とその対応を題材にして，ファイアウォール，DNSサーバ及びメールサーバに関する技術要素への理解，設計能力について問う。

解き方のヒントを見る

問02：DNSを狙う攻撃とFWの守り方をセットで考えよう

UDPを使うDNSは、差出人を書き換えたニセの手紙を送られるように、送信元IPアドレスを詐称されやすいんだ。その結果、DNSキャッシュにウソの住所録を覚えさせるキャッシュポイズニング攻撃につながることがあるよ。対策としては、問合せに使う送信元ポートをランダムにして当てにくくしたり、DNSSECで回答が本物か確認したりしよう。また、再帰解決は誰にでも使わせるのではなく、必要な相手だけに限定するのが大事だよ。FWでは、正規の問合せと詐称された問合せを見分けにくい場面があることも押さえておこう。

この問題で問われていること

DNSの運用とFWの設計を別々に考えるのではなく、「攻撃者はどうやってだましてくるのか」という流れから、DNS側の設定とFW側の制御をセットで考えられるかがポイントだよ。

DNS and Firewall Anti-Spoofing Design

secure DNS and firewall design requires randomized source ports、 DNSSEC、 carefully scoped recursion、 and awareness that spoofed UDP queries are hard to distinguish from legitimate ones

UDP spoofing risk\nrandomize source port\nuse DNSSEC\nlimit recursive resolution

確認ポイント

UDP 詐称前提で考える。
送信元ポートを固定しない。
再帰解決の範囲を限定する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002e6g-att/2013h25h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002e6g-att/2013h25h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002e6g-att/2013h25h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成25年度春期情報処理安全確保支援士試験午後Ⅰ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

平成25年度春期 情報処理安全確保支援士 午後Ⅰ 問2

問題