解説

DNSキャッシュポイズニング攻撃は、DNSキャッシュサーバに偽のDNS応答を注入し、正規ドメインを攻撃者のサーバに誘導する攻撃です。攻撃の仕組み：攻撃者が大量の偽DNS応答を送り、正規の権威DNSサーバからの正当な応答より先にキャッシュに書き込まれることを狙います。主な対策：①送信元ポートのランダム化（Source Port Randomization）：問い合わせごとに使用するポートをランダムにすることで、偽応答が「正しいトランザクションIDとポートの組み合わせ」を当てる確率を大幅に下げます。②トランザクションIDのランダム化：16ビットのランダムIDと組み合わせてさらに推測困難にします。③DNSSEC（DNS Security Extensions）：デジタル署名で応答の正当性を検証します。選択肢bの「外部DNSクライアントからの再帰的問合せを受け付けない」は、外部からキャッシュサーバへの不正な問い合わせ（オープンリゾルバの悪用）を防ぐ対策として有効です。

なぜ他の選択肢は違うのか

選択肢 ア

「DNSサービスの待ち受けポートを53番に固定する」はDNSポイズニング対策ではなく、むしろ逆効果です。送信元ポートを固定するとポートが予測可能になり、攻撃者が偽応答を合わせやすくなります。対策はポートをランダム化することです。

選択肢 ウ

「権威DNSサーバへの問合せに使用するトランザクションIDを固定する」もポイズニング対策として逆効果です。トランザクションIDは攻撃者に推測されないようにランダム化するべきであり、固定すると攻撃が容易になります。

選択肢 エ

「権威DNSサーバへの非再帰的問合せを行う設定にする」はDNSキャッシュポイズニング対策として直接的な効果はありません。再帰・非再帰の区別はキャッシュサーバが自分でゾーンを持つかどうかに関係し、ポイズニング攻撃の根本対策にはなりません。

解くときのポイント

DNSキャッシュポイズニング対策の核心：①送信元ポートのランダム化②トランザクションIDのランダム化③DNSSEC④オープンリゾルバを閉じる（外部からの再帰問い合わせを拒否）。「ポートを53番に固定」「IDを固定」は逆効果。