令和元年度秋期 ITストラテジスト 午前Ⅱ 問24

攻撃の成立条件を見極める観点

DNSを利用したサービス妨害を考えるときは、通信の向きや要求の扱われ方に注目し、誰にどのような負荷が集中する設計なのかを整理して比較します。

この問題で問われていること

各候補を読む際、送信元・中継役・応答先の関係と、要求量や応答量がどう変化する想定かという一点に絞り、攻撃の成立条件を確認してください。

視点

方式名や用語の印象だけで判断せず、通信に関わる主体を順に書き出し、要求がどこへ向かい、応答や負荷がどこに現れる想定なのかを同じ基準で照合します。

確認ポイント

• 通信に関わる主体の役割と向きを整理したか
• 要求と応答の規模が変化する箇所に注目したか
• 負荷が集中する対象を候補ごとに同じ基準で見たか

正解

イ

解説

DNS水責め攻撃は、ランダムに作った存在しないサブドメイン名を大量に問い合わせ、権威DNSサーバへ名前解決の負荷を集中させる攻撃です。

理由

ランダムなサブドメイン名はキャッシュに存在しないため、問い合わせのたびに権威DNSサーバが処理を求められます。これを大量に発生させ、権威DNSサーバやその周辺の処理能力を圧迫するのがDNS水責め攻撃です。

比較

DNSキャッシュへの偽情報注入はキャッシュポイズニングに当たり、偽の応答を大量送信したり、応答サイズを大きくしたりする攻撃は、DNS水責め攻撃の本質である大量の名前解決問い合わせとは異なります。

選択肢ア

これは不正解だよ。標的のDNSキャッシュサーバへ偽のサブドメイン情報を注入する内容は、キャッシュに不正な名前解決結果を登録させる攻撃の説明です。DNS水責め攻撃は、偽情報の注入ではなく、ランダムな名前への大量問い合わせによってDNSサーバの処理負荷を高めます。

選択肢イ（正解）

これは正解だよ。存在しないサブドメイン名をランダムかつ大量に問い合わせると、キャッシュに該当情報がないため、名前解決の問い合わせが権威DNSサーバへ到達します。この大量の問い合わせによって、標的の権威DNSサーバに負荷を集中させる攻撃がDNS水責め攻撃です。

選択肢ウ

これは不正解だよ。DNS情報を格納した大量のレスポンスを標的サーバへ送り付ける内容は、問い合わせを発生させて権威DNSサーバの処理を圧迫するDNS水責め攻撃とは異なります。選択肢は、DNS応答を一方的に送信する通信量型の攻撃を示しています。

選択肢エ

これは不正解だよ。データサイズが大きいDNSレスポンスを送り付けることは、応答データの量やサイズを利用して通信・処理負荷を高める攻撃の説明です。DNS水責め攻撃で重要なのは、大きな応答を送ることではなく、存在しない名前への大量問い合わせを発生させる点です。

学習のポイント

キャッシュDNSと権威DNSの役割、および問い合わせ型攻撃の特徴を整理する。