平成26年度秋期 情報処理安全確保支援士 午前Ⅱ 問9

DNSキャッシュサーバを“誰でも使える窓口”にしない対策だよ

DNSキャッシュサーバへのキャッシュポイズニング攻撃を防ぐには、再帰的問合せに答える相手を内部ネットワークだけに絞る設定が有効だよ。お店の奥にある社内用の相談窓口を、通りすがりの人にも開放しないイメージだね。

この問題で問われていること

この問題では、DNSキャッシュサーバを外部の誰でも使えるオープンリゾルバにしないこと、そして攻撃者に推測されにくいように送信元ポート番号やTXIDを固定しないことを理解しているかが問われているよ。

再帰問合せ制限

外部から誰でも再帰問合せできると、偽応答注入や踏み台利用の対象になりやすい。内部限定が基本です。

再帰問合せは内部からのみ許可\n-> キャッシュ汚染リスク低減

確認ポイント

• 外部から再帰問合せできるようにするのは危険です。
• 送信元ポートや TXID を固定すると逆に推測されやすい。
• 内部からだけ応答する設定を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。コンテンツサーバは『自分の店の住所を答える係』、キャッシュサーバは『お客さんの代わりにいろいろ調べる係』みたいなもの。この2つを外部向けに兼ねさせると、誰でも使える便利すぎる窓口になってしまい、攻撃に悪用されやすくなるよ。

選択肢イ（正解）

これは正解だよ。再帰的な問合せは、DNSサーバに『代わりに住所を調べてきて』と頼む窓口みたいなもの。これを外部の誰にでも開けると、悪い人に踏み台にされたり、偽情報を混ぜられる危険が増えるんだ。だから、社内など内部ネットワークからの依頼だけ受ける設定にするのが安全だよ。

選択肢ウ

これは間違いだよ。送信元ポート番号は、返事を受け取るための合言葉の一部みたいなもの。毎回同じ番号に固定すると、泥棒に『いつもこの窓から返事が来る』と読まれやすくなるんだ。DNSキャッシュポイズニング対策では、ポート番号はランダムにして当てにくくするのが大事だよ。

選択肢エ

これは間違いだよ。トランザクションIDは、DNSの問合せと返事を対応させるための受付番号みたいなもの。これを固定すると、偽の返事を作る側が番号を当て放題になってしまうよ。安全にするには、トランザクションIDも毎回ランダムにして、偽装されにくくしよう。