解説

DNSキャッシュポイズニング攻撃対策として有効なのは「DNS問合せに使用するトランザクションIDをランダムに変更すること」です。攻撃者は偽のDNS応答を大量に送り、正規応答より先にIDが一致する偽応答を受け入れさせようとします。トランザクションIDが固定または予測可能であれば攻撃成功率が高まるため、IDをランダム化することで推測困難にし攻撃を大幅に困難にします。加えて、送信元ポートのランダム化も有効です（選択肢bはIDのランダム化について説明）。選択肢bが正解です。

なぜ他の選択肢は違うのか

選択肢 ア

「DNSサーバに侵入したマルウェアをリアルタイム隔離」はマルウェア対策であり、DNSキャッシュポイズニングへの直接対策ではありません。キャッシュポイズニングはDNSプロトコルの仕組みを悪用するものです。

選択肢 ウ

「送信元ポート番号を53番に固定」は逆効果です。攻撃者が送信元ポートを予測しやすくなり、偽応答の一致率が上がります。ランダム化すべきであり、固定化は脆弱性を高めます。

選択肢 エ

「外部からのDNS問合せに対し宛先ポート53のもののみに応答」は通常のDNSサーバの動作として当然の設定であり、キャッシュポイズニングへの特別な対策とはなりません。

解くときのポイント

DNSキャッシュポイズニング対策の2本柱：①トランザクションIDのランダム化②送信元ポートのランダム化（DNSSEC導入も根本的対策）。「固定する」選択肢は逆効果なので即排除。令和6年秋（r06h）問1にも同様の問題が出題されており、対策の理解が問われる。