令和6年度 高度共通 午前I（PM試験） 問15

正解：イ

AI解説

DNSキャッシュポイズニングは、攻撃者がDNSの問合せに対して正規の応答より先に偽の応答を送り込み、キャッシュサーバに誤った情報を記憶させる攻撃である。偽応答が受理されるには問合せのID(トランザクションID)や送信元ポート番号を一致させる必要があるため、これらをランダム化して推測を困難にすることが有効な対策となる。 ア: マルウェアの隔離は一般的なマルウェア対策であり、外部から偽のDNS応答を注入するキャッシュポイズニングへの対策にはならない。 イ: 正しい。DNSヘッダー内のIDをランダム化すれば、攻撃者が偽応答に設定すべきIDを推測しにくくなり、攻撃の成功率を大幅に下げられる。送信元ポートのランダム化と併用される。 ウ: 送信元ポート番号を53番に固定すると、攻撃者が偽応答の宛先ポートを容易に特定できてしまい、むしろ攻撃を助長する。ポートはランダム化すべきである。 エ: 宛先ポート53のみに応答するのはDNSの通常動作の説明にすぎず、偽応答の注入を防ぐ効果はない。 💡 キャッシュポイズニング対策は「推測されにくくする」が軸で、ID・送信元ポートのランダム化、そして根本対策としてディジタル署名で応答を検証するDNSSECを覚える。「固定する」とある選択肢は逆効果と疑う。