平成27年度春期 情報処理安全確保支援士 午前Ⅱ 問15

キャッシュDNSを“誰でも使える電話係”にしない対策だよ

キャッシュDNSと権威DNSは役割を分けておこう。キャッシュDNSは社内や利用者向けの“調べ物係”みたいなものなので、インターネット側の誰からでも使える状態にすると、攻撃者に悪用されてDNS増幅攻撃の踏み台にされやすいよ。外部からキャッシュDNSへ問い合わせできないようにすれば、反射源になりにくくできるんだ。

この問題で問われていること

ポイントは、公開された再帰DNSサーバが危険だと分かるかどうかだよ。誰でも使えるキャッシュDNSは、親切な案内係に見えて、攻撃者からすると大きな返事を返させるための便利な道具になってしまうんだ。

DNS Amplification Defense

to prevent DNS amplification abuse、 separate caching and authoritative DNS and block recursive queries from the Internet to the caching server

separate cache and authoritative servers\nblock Internet access to recursive cache\navoid open resolver behavior

確認ポイント

• 公開再帰をやめる。
• キャッシュ DNS を外部公開しない。
• DNSSEC の話ではありません。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。DNSキャッシュサーバは“調べ物を代行してくれる窓口”だから、インターネット中の誰でも使える状態だと、悪い人に踏み台として使われやすいんだ。コンテンツサーバと分けて、外部からキャッシュサーバへ問合せできないようにすれば、店の裏口を閉めるように悪用されにくくできるよ。

選択肢イ

これは不正解だよ。Whoisでドメインの登録情報を確認するのは、住所録を見るようなもの。誰が管理しているかの手掛かりにはなるけど、DNSサーバが踏み台にされて大量の問合せを投げる問題そのものは止められないんだ。

選択肢ウ

これは不正解だよ。1つの名前に複数のIPアドレスを割り当てるのは、レジの窓口を増やしてお客さんを分散するような負荷分散の仕組み。サーバへのアクセスをさばきやすくする話で、DNSサーバを踏み台にされる問題の対策ではないんだ。

選択肢エ

これは不正解だよ。ディジタル署名で確認する設定は、届いた情報が偽物じゃないかを見分ける“封印チェック”みたいなもの。DNSSECの話で、偽情報対策には役立つけど、外部の人がDNSキャッシュサーバを勝手に使って攻撃に悪用することを直接防ぐ対策ではないよ。