平成28年度春期 情報処理安全確保支援士 午前Ⅱ 問12

午前II 問12

DNSキャッシュポイズニングを防ぐには、DNSの応答を“当てずっぽうで偽装しにくくする”ことが大事だよ。たとえば、宅配便の受け取り番号が毎回ランダムに変われば、他人が先回りしてなりすましにくいよね。同じように、DNSヘッダのIDや送信元ポート番号を予測しにくくしておく。今回の問題では、IDを固定せずランダムに変える対策がそれに当たるよ。

この問題で問われていること

キャッシュポイズニングの本質は、攻撃者が本物の応答より先に“偽の応答”を送り込むことだよ。だから、攻撃者が正しいIDなどを予測できないようにする対策を選べるかがポイントだよ。

DNS Cache Poisoning Defense

cache-poisoning defenses make forged DNS responses harder by randomizing transaction identifiers rather than keeping them fixed

forged response races legitimate response\nrandomize DNS transaction ID\navoid predictable fixed values

確認ポイント

• 偽応答の先回りを防ぐ発想で見る。
• ID の予測困難化を押さえる。
• ポート固定は逆効果と分かる。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。マルウェア侵入のリアルタイム検知は、DNSキャッシュポイズニング対策そのものではないんだ。たとえるなら、家の中に泥棒が入ったかを監視する話であって、偽物の案内状を信じないようにする対策とは別物だよ。

選択肢イ（正解）

これは正解だよ。DNSヘッダ内のIDを毎回ランダムにすると、攻撃者が偽の返事を当てにくくなるんだ。たとえるなら、荷物を受け取るたびに合言葉を変えるようなもので、泥棒が偶然当てるのがかなり難しくなるよ。

選択肢ウ

これは不正解だよ。送信元ポート番号を53番に固定すると、攻撃者に『ここに偽の返事を送ればいい』と読まれやすくなるんだ。たとえるなら、毎回同じ受取窓口を使うせいで、偽物の配達員に狙われやすくなる感じだよ。

選択肢エ

これは不正解だよ。DNSの問合せは、相手のDNSサーバの53番ポートに送るのが普通だけど、これだけでは偽の返事を見分ける力は弱いんだ。たとえるなら、窓口番号だけ合っていても、本人確認をしていないようなものだよ。