解説

DNSキャッシュポイズニング攻撃は、DNSキャッシュサーバに偽のドメイン名とIPアドレスの対応情報を覚え込ませ、利用者を偽のサイトへ誘導する攻撃です。攻撃者は、キャッシュサーバが正規の権威DNSサーバからの応答を待っている間に、偽の応答を送り込んで先に受け入れさせようとします。このとき、キャッシュサーバが偽応答を本物と誤認してしまうかどうかは、DNSメッセージの問合せ識別子（DNSヘッダ内のID、トランザクションID）が一致するかどうかなどで判定されます。そこで、DNS問合せに使用するこのIDを固定せず、毎回ランダムに変更すれば、攻撃者がIDを推測して偽応答を一致させることが難しくなり、攻撃の成功確率を大きく下げられます。選択肢bの「DNS問合せに使用するDNSヘッダ内のIDを固定せずにランダムに変更する」が、有効な対策として正しく、正解です。問合せIDのランダム化に加え、送信元ポート番号のランダム化を併用すると、攻撃者が推測すべき値の組合せが増え、さらに耐性が高まります。DNSSECによる応答の正当性検証も根本的な対策として知られています。

なぜ他の選択肢は違うのか

選択肢 ア

「DNSサーバにおいて、侵入したマルウェアをリアルタイムに隔離する」は誤りです。マルウェアの隔離はマルウェア対策の話であり、偽のDNS応答を覚え込ませるDNSキャッシュポイズニング攻撃への直接の対策ではありません。攻撃の仕組みに対応していません。マルウェアの隔離はマルウェア対策の話であり、偽のDNS応答を覚え込ませるDNSキャッシュポイズニング攻撃への直接の対策にはならず、攻撃の仕組みに対応していません。

選択肢 ウ

「DNS問合せに使用する送信元ポート番号を53番に固定せずにランダムに変更する」は、送信元ポートのランダム化に言及していますが、本問が正解とする問合せIDのランダム化が主たる対策として問われています。DNSの問合せはもともと送信元ポートに53番を使うわけではなく、この記述は前提が不正確で、最も適切な対策とはいえません。

選択肢 エ

「外部からのDNS問合せに対しては、宛先ポート番号53のものだけに応答する」は誤りです。これは正規のDNS通信のポートに関する設定の話であり、偽の応答を覚え込ませるキャッシュポイズニング攻撃を防ぐ対策にはなりません。攻撃の本質である応答の真正性確認に対応していません。これは正規のDNS通信のポートに関する設定の話であり、偽の応答を覚え込ませるキャッシュポイズニング攻撃を防ぐ対策にはならず、応答の真正性確認に対応していません。

解くときのポイント

DNSキャッシュポイズニング対策＝問合せID（トランザクションID）のランダム化（＋送信元ポートのランダム化で推測を困難に）、DNSSECによる応答の正当性検証。偽応答を本物と誤認させない仕組みが要点。