令和元年度秋期 ITサービスマネージャ 午前Ⅱ 問23

DNS攻撃を考える確認の視点

DNSに関する攻撃を考えるときは、名称や印象だけで判断せず、どの段階の仕組みと、どの対象に、どのような影響を及ぼす行為かという一つの観点に注目して整理しましょう。

この問題で問われていること

各選択肢を読む際、攻撃が成立する前提と影響を受ける対象の対応関係に焦点を当て、説明の主語・対象・結果が一貫しているかを丁寧に比較し、共通点と違いを整理してください。

視点

攻撃の説明を、関係する仕組み、狙われる対象、起こり得る影響という要素に分けて読み、同じ観点で各記述を照合します。用語の知名度ではなく、説明同士の対応関係を丁寧に確認しましょう。

確認ポイント

• 説明が前提としている仕組みと対象を読み取れているか
• 攻撃の結果として述べられる影響の範囲を確認できるか
• 主語・対象・影響の関係が一貫した記述かを見比べたか

正解

イ

解説

DNS水責め攻撃は、存在しないランダムなサブドメイン名を大量に問い合わせ、権威DNSサーバに名前解決処理を集中させる攻撃です。

理由

ランダムに生成した存在しないサブドメイン名への問い合わせを大量に発生させると、権威DNSサーバはそれぞれの名前解決要求を処理することになる。この負荷の集中がDNS水責め攻撃の特徴です。

比較

DNSキャッシュサーバへの偽情報の注入はキャッシュポイズニングに該当する。また、大量のDNSレスポンスや大きな応答を送り付ける攻撃は、問い合わせを集中させるDNS水責めとは通信の向きや負荷の発生方法が異なる。

選択肢ア

これは不正解だよ。DNSキャッシュサーバへ偽のサブドメイン情報を注入するのは、キャッシュに誤った名前解決結果を記録させるDNSキャッシュポイズニングの説明である。ランダムな不存在名への問い合わせを権威DNSサーバへ集中させるDNS水責めとは、攻撃対象と手段が異なる。

選択肢イ（正解）

これは正解だよ。ランダムかつ大量に生成した存在しないサブドメイン名を問い合わせると、権威DNSサーバは個々の名前解決要求を処理する必要がある。このように問い合わせ処理を集中させてサーバへ負荷を与える攻撃が、DNS水責め攻撃である。

選択肢ウ

これは不正解だよ。DNSレスポンスを大量に送り付ける説明であり、攻撃者がランダムな不存在サブドメインの問い合わせを発生させるDNS水責めとは通信の向きが異なる。設問の攻撃は応答の直接送信ではなく、問い合わせ処理を標的側に集中させるものである。

選択肢エ

これは不正解だよ。データサイズが大きいDNSレスポンスを送り付ける説明は、応答量やパケットサイズを利用して負荷を与える攻撃に近い。DNS水責めの特徴である、存在しないサブドメインへの大量の問い合わせによる処理負荷とは、送信内容と負荷の生じ方が異なる。

学習のポイント

キャッシュ汚染、DNS応答の大量送信、DNS問い合わせ集中を区別する視点を身につける。