令和4年度 春期 ネットワークスペシャリスト試験 午前II 問21
テクノロジセキュリティ技術ネットワークDNS・電子メールのセキュリティDNS
DNSの再帰的な問合せを使ったサービス妨害攻撃（DNSリフレクタ攻撃）の踏み台にされないための対策はどれか。
解答・解説
正解: ア. DNSサーバをDNSキャッシュサーバと権威DNSサーバに分離し，インターネット側からDNSキャッシュサーバに問合せできないようにする。
DNSリフレクタ攻撃（DNSアンプ攻撃） とは、送信元IPアドレスを攻撃対象のIPアドレスに偽装して、外部からの再帰的な問合せを許可しているDNSキャッシュサーバ（オープンリゾルバ）に問合せを行い、攻撃対象に大量の応答パケットを送りつけることでサービスを妨害するDDoS攻撃の一種です。
この攻撃の踏み台にされないためには、自組織のDNSサーバがオープンリゾルバにならないように設定する必要があります。具体的には、DNSキャッシュサーバと権威DNSサーバを分離し、DNSキャッシュサーバが受け付ける再帰的な問合せを自組織内のネットワークからのみに制限（インターネット側からの問合せを拒否）することが有効な対策となります。
各選択肢の解説
- ア：正解です。インターネット側からDNSキャッシュサーバへの問合せを制限することで、オープンリゾルバとして悪用されるのを防ぐことができます。
- イ：Whoisデータベースでドメイン情報を確認してから登録する手続きは、DNSリフレクタ攻撃の踏み台対策とは無関係です。
- ウ：一つのDNSレコードに複数のIPアドレスを割り当ててアクセスを振り分けるのは、DNSラウンドロビンによる負荷分散の手法であり、踏み台対策ではありません。
- エ：デジタル署名で対応情報の信頼性を確認するのは、DNSSEC（DNS Security Extensions）の説明です。これはDNSキャッシュポイズニング攻撃などを防ぐための対策であり、DNSリフレクタ攻撃の踏み台対策ではありません。