解説

カミンスキー攻撃（Kaminsky's Attack）はDNSキャッシュポイズニング攻撃の一種で、大量の偽応答を送ってDNSキャッシュに不正なレコードを注入する手法。対策として「問合せ時の送信元ポート番号をランダム化（ソースポートランダム化）することで、DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる」（c：正解）。カミンスキー攻撃では攻撃者が大量の偽DNS応答を送信し、トランザクションID（16ビット）を当てることで成功する。ソースポートランダム化によりトランザクションIDとポート番号の組み合わせ（16ビット×16ビット=32ビット相当）を当てる必要が生じ、攻撃成功確率が大幅に低下する。根本的な対策はDNSSEC（デジタル署名による正当性検証）の導入。

なぜ他の選択肢は違うのか

選択肢 ア

「DNSキャッシュサーバと権威DNSサーバの冗長構成によって過負荷によるサーバダウンリスクを低減」は可用性向上の対策であり、DNSキャッシュポイズニング（不正なレコード注入）の対策にはならない。カミンスキー攻撃はサーバダウンではなく偽情報の注入を目的としており、冗長化では防御できない。

選択肢 イ

「SPFを用いてDNSリソースレコードを認証することで電子メールの送信元ドメインを詐称から保護」は電子メール送信元詐称（なりすましメール）の対策であり、DNSキャッシュポイズニングの対策ではない。SPFはDNSのTXTレコードを使うがカミンスキー攻撃そのものには対処しない。

選択肢 エ

「プレースホルダを用いたエスケープ処理で不正なSQL構文によるDNSリソースレコードの書換えを防ぐ」はSQLインジェクション対策の説明であり、DNSキャッシュポイズニングとは全く異なる攻撃への対策である。カミンスキー攻撃はSQL文の注入ではなく偽のDNS応答パケットの注入によるものでSQLとは無関係。

解くときのポイント

DNS応答の検証: ①送信元ポートランダム化（カミンスキー攻撃対策）②Transaction IDランダム化③DNSSECによる署名検証（最も根本的な対策）。現在はDNSSECの普及が推奨される。