平成29年度春期 応用情報技術者試験 午前 問41

正解：イ

AI解説

DNSキャッシュポイズニングは，キャッシュサーバに偽のDNS応答を注入して利用者を偽サイトへ誘導する攻撃である。対策の基本は，外部からの再帰的問合せを受け付けない（オープンリゾルバにしない）ことと，送信元ポート番号やトランザクションIDをランダム化して偽応答の的中を困難にすることである。 ア: コンテンツサーバとキャッシュサーバの兼用や外部への再帰応答は攻撃機会を増やす悪手であり，両者は分離すべきである。 イ: 正しい。再帰的問合せへの応答を内部ネットワークからのものに限定すれば，外部からの攻撃の足掛かりを断てる。 ウ: 送信元ポート番号は固定ではなくランダム化すべきであり，固定は偽応答を当てやすくして逆効果である。 エ: トランザクションIDもランダム化すべきであり，固定は攻撃を容易にする。 💡 「固定」と書かれた肢は逆（ランダム化が正解）というのが本テーマの定番ひっかけ。根本対策としてDNSSEC（応答へのデジタル署名）も覚えておく。