平成31年度春期 情報処理安全確保支援士 午前Ⅱ 問11

午前II 問11

DNSの偽応答を当てられにくくするには、DNSヘッダ内のIDを毎回ランダムに変えるのが有効だよ。これは、荷物を受け取るときの合言葉を毎回変えるようなもの。逆に、送信元ポートを53番に固定してしまうと、攻撃者に「ここを狙えばいい」と教えるような形になってしまうんだ。だから、IDやポート番号を予測されにくくする、という考え方で対策を選ぼう。

この問題で問われていること

DNS応答偽装対策のポイントは、正しい応答かどうかを照合するための値を、攻撃者に予測されにくくすることだよ。IDやポート番号を固定せず、ランダム性を高める発想を理解できるかが問われているよ。

Randomization Against DNS Poisoning

to resist cache poisoning、 make the DNS transaction identifiers unpredictable rather than fixed、 so forged responses are harder to guess correctly

randomize DNS query ID\nmake forged answers harder to match\nfixed values increase predictability

確認ポイント

• 予測しにくくする発想で考える。
• 53 番固定を良い対策と誤認しない。
• 照合値のランダム化に注目する。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。マルウェアを隔離するのはウイルス対策ソフトの仕事に近く、DNSの偽応答を防ぐ対策とは別物なんだ。たとえるなら、郵便物のなりすまし対策を聞かれているのに、家の中の泥棒を捕まえる話をしている感じだよ。

選択肢イ（正解）

これは正解だよ。DNSの返事を受け取るときは、問い合わせ時のIDが合っているかを確認するんだ。IDを毎回ランダムにすれば、泥棒が「この番号の荷物です」と偽の荷物を差し込もうとしても番号を当てにくくなるよ。DNSキャッシュポイズニング対策として有効なんだ。

選択肢ウ

これは間違いだよ。送信元ポート番号を53番に固定すると、攻撃者に予想されやすくなって危険なんだ。合鍵の番号を毎回同じにして玄関に貼っておくようなもので、偽のDNS応答を当てられやすくなるよ。対策としては、送信元ポートもランダムにするのが望ましいんだ。

選択肢エ

これは間違いだよ。DNSサーバへの問い合わせの宛先ポートが53番なのは普通の動きだけど、それだけでは偽のDNS応答を防げないんだ。窓口が53番だと決めても、偽の返事を持ってくる相手を見分ける仕組みにはならないよ。