令和5年度 春期 情報処理安全確保支援士試験 午前 II 問題 問5
テクノロジセキュリティ技術ネットワークDNS・電子メールのセキュリティDNS
DNSに対するカミンスキー攻撃 (Kaminsky's attack) への対策はどれか。
解答・解説
正解: ウ. 問合せ時の送信元ポート番号をランダム化することによって，DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。
カミンスキー攻撃（Kaminsky's attack）は、DNSキャッシュポイズニングの手法の1つです。攻撃者は、キャッシュサーバに対してランダムで存在しないサブドメインの問い合わせを大量に行い、同時に偽の応答を送りつけることで、偽のDNS情報をキャッシュさせようとします。
この攻撃への有効な対策として、送信元ポート番号のランダム化（ソースポートランダム化）が挙げられます。DNSの問い合わせパケットの送信元ポート番号をランダムに変化させることで、攻撃者が正しいポート番号を推測して偽の応答パケットを合致させる確率を大幅に低下させることができます。
したがって、正解は ウ です。
各選択肢の解説
ア: DNSサーバの冗長構成に関する記述です。過負荷や障害によるダウンに対する可用性向上の対策であり、カミンスキー攻撃への対策ではありません。
イ: SPF (Sender Policy Framework)に関する記述です。送信元IPアドレスを用いて電子メールの送信元ドメインの詐称（なりすまし）を防ぐための技術であり、カミンスキー攻撃への対策ではありません。
ウ: 正解です。問い合わせ時の送信元ポート番号をランダム化（ソースポートランダム化）することは、カミンスキー攻撃を含むDNSキャッシュポイズニングの有効な対策です。
エ: プレースホルダを用いたエスケープ処理に関する記述です。これはデータベースに対するSQLインジェクション攻撃への対策であり、DNSへの攻撃対策ではありません。