解説

カミンスキー攻撃（Kaminsky Attack）は、2008年にダン・カミンスキーが発見したDNSキャッシュポイズニングの高度化手法です。攻撃者はDNSキャッシュサーバに大量の偽DNS応答を送りつけ、正規のトランザクションIDとUDPポートの組み合わせを推測・一致させることで偽の情報をキャッシュに書き込もうとします。有効な対策は「送信元ポート番号のランダム化（Source Port Randomization）」です。従来はDNS問い合わせに固定の送信元ポートを使っていたため、攻撃者がポートを推測しやすかった。送信元ポートをランダム化することで、攻撃者が偽応答を一致させる確率を大幅に低減できます（トランザクションIDの16ビット＋送信元ポートの組み合わせで推測困難になる）。選択肢dが正しい対策です。

なぜ他の選択肢は違うのか

選択肢 ア

「DNSキャッシュサーバと権威DNSサーバの2台冗長構成」は可用性向上のための構成であり、キャッシュポイズニング攻撃への対策にはなりません。攻撃者はどちらのサーバも騙せます。

選択肢 イ

「SPFを用いてDNSリソースレコードを認証する」はメール送信元ドメインの詐称防止（なりすましメール対策）です。DNSキャッシュポイズニング攻撃の対策ではありません。

選択肢 ウ

「SQLプレースホルダを用いてDNSリソースレコードの書換えを防ぐ」はSQLインジェクション対策の説明です。DNSキャッシュポイズニングはSQL文とは無関係のプロトコルレベルの攻撃です。

解くときのポイント

カミンスキー攻撃対策＝「送信元ポートのランダム化」が決め手。加えてDNSSECも有効。「ポートを固定する」「IDを固定する」は逆効果。SPF・DMARC・DKIM系はメール詐称対策と区別する。