令和6年度 秋期 プロジェクトマネージャ試験 データベーススペシャリスト試験 エンベデッドシステムスペシャリスト試験 システム監査技術者試験 情報処理安全確保支援士試験 午前 I 問題 【共通】 問15

DNSキャッシュポイズニングは、DNSサーバが他のDNSサーバに問い合わせを行った際、攻撃者が本物の応答より早く偽の応答（偽のIPアドレスなど）を返し、DNSサーバに偽の情報をキャッシュさせる攻撃です。

この攻撃を成功させるには、攻撃者は問い合わせ時のトランザクションID（DNSヘッダー内のID）や送信元ポート番号などを一致させる必要があります。したがって、これらをランダム化して推測を困難にすることが有効な対策となります。

各選択肢の解説

• ア: DNSサーバにおいて、侵入したマルウェアをリアルタイムに隔離する。
  マルウェア対策ソフトウェア（アンチウイルスなど）の機能に関する記述であり、DNSキャッシュポイズニング攻撃の直接的な対策ではありません。

• イ: DNS問合せに使用するDNSヘッダー内のIDを固定せずにランダムに変更する。
  正解です。トランザクションIDをランダムにすることで、攻撃者が正しいIDを推測することが困難になり、偽の応答を受け入れてしまうリスクを低減できます。

• ウ: DNS問合せに使用する送信元ポート番号を53番に固定する。
  送信元ポート番号を固定すると、攻撃者がポート番号を推測しやすくなるため、かえって危険です。対策としては、送信元ポート番号をランダムに割り当てるソースポートランダマイゼーションが有効です。

• エ: 外部からのDNS問合せに対しては，宛先ポート番号53のものだけに応答する。
  一般的なパケットフィルタリングやアクセス制御に関する記述であり、DNSキャッシュポイズニングの対策ではありません。