平成30年度秋期 応用情報技術者試験 午前 問39

正解：イ

AI解説

正解はイ。DNSキャッシュポイズニングは、キャッシュサーバに偽のDNS応答を注入して利用者を偽サイトへ誘導する攻撃である。外部からの再帰的な問合せを受け付けると攻撃の起点にされやすいため、再帰的問合せは内部ネットワークからのものだけに制限する(オープンリゾルバにしない)ことが基本的な対策となる。 ア: コンテンツサーバとキャッシュサーバの兼用や外部からの再帰的問合せの受付は、オープンリゾルバとなり攻撃対象を広げるため逆効果である。 イ: 正しい。再帰的問合せを内部からに限定すれば、外部の攻撃者が偽応答を注入する機会を大幅に減らせる。 ウ: 送信元ポート番号は固定ではなくランダム化するのが対策である。固定すると偽応答のポート番号を推測されやすくなり脆弱になる。 エ: トランザクションIDも固定ではなくランダム化すべきである。固定すると偽応答を正規応答として受け入れさせる攻撃が容易になる。 💡 キャッシュポイズニング対策は「再帰的問合せの制限」「ポート番号・トランザクションIDのランダム化」「DNSSEC」。選択肢の「固定する」は「ランダム化する」の逆で定番のひっかけである。