平成29年度春期 情報処理安全確保支援士 午前Ⅱ 問6

午前II 問06：DNSへの“存在しない名前”攻撃を見抜こう

存在しないサブドメイン名を大量にオープンリゾルバへ問い合わせると、リゾルバは答えをキャッシュできないよ。だから毎回「この名前、本当にないの？」と攻撃対象ドメインの権威DNSサーバへ確認しに行くことになり、権威DNSサーバに問い合わせが集中して過負荷になるんだ。

この問題で問われていること

ポイントは、攻撃で苦しくなる相手がキャッシュサーバではなく、最終的に何度も確認される権威DNSサーバだと追えるかだよ。

Random Subdomain Attack

random subdomain attacks overload the authoritative DNS server by forcing open resolvers to query many uncached names

many random names\nopen resolver forwards queries\nno cache hit\nauthoritative DNS overloaded

確認ポイント

• キャッシュに乗らない点を見る。
• オープンリゾルバが踏み台。
• 権威 DNS が最終標的。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これは『相手の住所を勝手に差出人にして、大量の返事を相手へ送りつける』ような攻撃で、DNSリフレクション攻撃に近い説明なんだ。ランダムなサブドメインを使う点は似ているけど、狙いが権威DNSサーバを忙殺する話ではないよ。

選択肢イ（正解）

これは正解だよ。オープンリゾルバに『abc.example.comは？』『xyz.example.comは？』みたいな存在しない名前を大量に聞くと、リゾルバは毎回そのドメインの権威DNSサーバへ確認しに行くんだ。たとえると、案内窓口に架空の住所確認を大量に頼んで、本部の電話を鳴らし続ける感じだよ。これがDNS水責め攻撃の典型だよ。

選択肢ウ

これは不正解だよ。DNSキャッシュに大量登録させる話や、正規レコードを上書きする話は、DNSキャッシュポイズニングなど別の攻撃に近いよ。今回のポイントは『存在しない大量の名前を調べさせて、権威DNSサーバを疲れさせる』ことなんだ。

選択肢エ

これは不正解だよ。Webサイトへ大量のランダムなサブドメインでアクセスしても、DNSサーバを困らせる攻撃の説明にはならないんだ。たとえると、役所の電話交換ではなく、直接お店の入口に行列を作るような話で、攻撃対象が違うよ。