平成26年度秋期 ITストラテジスト 午前Ⅰ 問13

名前解決の流れで影響範囲を捉える

組織内の端末が名前を問い合わせてから通信先に到達するまでの経路を順にたどり、攻撃の影響がどの段階に入り込み、その後どの利用者や通信に波及し得るかを一つの流れとして整理することが検討の軸になります。

この問題で問われていること

ここで考えるのは、攻撃そのものの仕組みよりも、その結果として組織内の通信がどう変わるかという点です。名前解決の結果を誰が受け取り、どのように使うかに注目して読み解いてください。

視点

DNSは名前とアドレスの対応を仲介する仕組みであり、組織内の多くの通信はその応答を前提に始まります。攻撃による影響を考える際は、問い合わせを出す側、応答を返す側、応答を受けて実際に通信する相手、という関係を分けて捉えると整理しやすくなります。影響がどこで生じ、どこまで及び得るかを、この関係の中に位置付けて考えてみてください。

確認ポイント

• 組織内の端末が名前解決を行う際、どのサーバにどの順序で問い合わせるかを確認する
• 攻撃の影響が、その流れのどの段階に入り込むとされているかを問題の記述から読み取る
• その段階以降で、どの利用者やどの通信が結果として影響を受け得るかを流れに沿って考える

正解

ウ

解説

DNSキャッシュポイズニングは、DNSサーバのキャッシュに偽の名前解決結果を登録させる攻撃だよ。このサーバは社内の問合せにも応じているので、社内利用者がインターネット上のWebサーバを名前解決すると偽のIPアドレスが返り、本来とは異なるWebサーバに誘導され得る。だから正答はウだよ。

理由

問題のDNSサーバは、インターネット公開用と社内用を兼ねていて、社内PCやサーバからの名前解決の問合せにも答えているよ。社内の利用者が外部のWebサーバのドメイン名を問い合わせると、このサーバはほかのDNSサーバに問い合わせて得た結果をキャッシュに保存する。攻撃者がこのキャッシュに偽のIPアドレスを登録させると、その後に同じ名前を問い合わせた社内利用者には偽のアドレスが返されるんだ。その結果、利用者は本来とは異なるWebサーバに誘導される。これがウの現象だよ。

比較

アはディスク上の定義の書換え、イはワームの常駐と不正プログラムの送込みで、どちらもキャッシュの汚染とは別の種類の被害だよ。エは、宛先メールアドレスという文字列そのものが書き換えられるとしている点がポイントだね。キャッシュ汚染がメール配送先の名前解決に影響する可能性はあるけれど、利用者が指定した宛先アドレスそのものが書き換えられるのは、この攻撃の直接の結果ではないよ。

選択肢ア

これは不正解だよ。DNSキャッシュポイズニングで汚染されるのは、DNSサーバがメモリ上に一時保存している名前解決の結果だよ。ハードディスク上に定義されたDNSサーバ名が書き換わるわけではないので、外部の参照者が接続できなくなるという記述は、この攻撃の直接の結果とはいえないんだ。

選択肢イ

これは不正解だよ。DNSキャッシュポイズニングは、偽の応答をキャッシュに登録させて名前解決の結果を偽る攻撃だよ。ワームがメモリ上に常駐して参照元へ不正プログラムを送り込むのは、マルウェアに感染したときの現象で、キャッシュの汚染そのものから直接起こるものではないんだ。

選択肢ウ（正解）

これは正解だよ。このDNSサーバは社内PCからの問合せにも答えているので、キャッシュに偽のIPアドレスが登録されると、社内利用者が外部のWebサーバのドメイン名を名前解決したときに偽のアドレスが返されるよ。その結果、本来とは異なるWebサーバに誘導され得るんだ。

選択肢エ

これは不正解だよ。DNSキャッシュポイズニングで偽られるのは名前解決の応答で、利用者が指定した宛先メールアドレスという文字列そのものが書き換えられるわけではないよ。汚染がメール配送先の名前解決に影響する可能性はあるけれど、「宛先メールアドレスが書き換えられる」という現象は、この攻撃の直接の結果とはいえないんだ。

学習のポイント

キャッシュポイズニングで偽られるのは名前解決の応答であり、その結果として偽のサイトへ誘導される仕組みを押さえよう。