基本情報技術者試験 - 令和5年7月修了 - 問32

答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ対策
解説 ：
「DNSキャッシュポイズニング攻撃」とは，DNSキャッシュサーバに対して，偽の情報を送り込むことで，本来とは異なる不正なIPアドレスをキャッシュとして記憶させてしまう攻撃です。この攻撃が成功すると，利用者が正しいホスト名を指定してアクセスしようとしても，攻撃者が用意した偽のサーバへと誘導されてしまう危険性があります。

この攻撃への対策の一つとして，DNSキャッシュサーバが行う「再帰的な問合せ」（利用者からの問合せを受けて，他のDNSサーバへ代わりに問い合わせを行う処理）を，内部ネットワークからのものだけに限定して許可するという設定が有効です。これにより，外部の攻撃者が，キャッシュサーバに対して不正な問合せや偽の応答を送り込む機会を減らすことができます。従って，正解は「イ」です。

「ア」は，外部ネットワークからの再帰的な問合せにも応答できるように，コンテンツサーバにキャッシュサーバを兼ねさせるとしていますが，これはむしろ外部からの攻撃を受けやすくする設定であり，対策としては不適切です。

「ウ」は，再帰的な問合せを行う際の送信元のポート番号を固定するとしていますが，実際には，攻撃者が偽の応答を送りつけるタイミングを予測しにくくするために，送信元のポート番号はランダム化する（固定しない）ことが対策として有効とされています。

「エ」も同様に，トランザクションIDを固定するとしていますが，これも実際には，攻撃者に予測されにくくするために，トランザクションIDをランダム化することが対策として推奨されています。