令和6年度秋期 情報処理安全確保支援士 午前Ⅰ 問15

午前I 問15：DNSキャッシュポイズニングを防ぐカギ

DNSの応答を偽物にすり替えて、キャッシュにウソの情報を覚えさせる攻撃では、「この返事は、さっきの問い合わせへの返事だよ」と結び付けるためのIDを当てられにくくすることが大事だよ。たとえば、荷物の受け取り番号を毎回ランダムで複雑にしておけば、なりすましの受け取りが難しくなるイメージだね。

この問題で問われていること

DNSの偽の応答を送り込まれにくくするために、攻撃者が予測しづらい乱数化の要素を選べるかがポイントだよ。

DNS Cache Poisoning Mitigation

DNS のトランザクション ID や送信元ポートをランダム化すると推測しにくくなる。

randomize query ID\nmake spoofing harder

確認ポイント

• 53 番固定は防御にならない。
• リアルタイム隔離は DNS キャッシュポイズニング対策そのものではありません。
• 応答照合に使う値を推測しにくくする。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。DNSキャッシュポイズニングは、DNSサーバにマルウェアが入り込む攻撃というより、偽の住所情報をDNSのメモに書き込ませる攻撃なんだ。郵便局の住所録にウソの転居先を書かれるイメージだね。だから、マルウェア隔離は別の対策で、この攻撃への直接の対策ではないよ。

選択肢イ（正解）

これは正解だよ。DNSの問い合わせには、返事を見分けるためのIDが付いているんだ。このIDを毎回ランダムにすれば、攻撃者は『どの番号の返事なら本物扱いされるか』を当てにくくなるよ。受付番号を毎回バラバラにするようなもので、偽の返事を差し込まれにくくできるんだ。

選択肢ウ

これは不正解だよ。DNSキャッシュポイズニングでは、偽の返事を本物っぽく見せるために、攻撃者が番号を当てにくるんだ。送信元ポートを53番に固定するのは、受付番号をいつも同じにするようなもの。泥棒に合鍵の形を教えるような状態なので、むしろ危険が増えるよ。

選択肢エ

これは不正解だよ。DNSサーバが問い合わせを受ける宛先ポートは基本的に53番なので、『53番宛てだけに応答する』のは普通の窓口を開けているだけなんだ。キャッシュポイズニング対策で大事なのは、返事を本物か見分けるIDや送信元ポートを推測されにくくすることだよ。