カミンスキー攻撃｜情報処理安全確保支援士 令和7年 春期午前Ⅱ試験 問4
出典：令和7年春期 午前Ⅱ 問4
分野：セキュリティ ／ 情報セキュリティ
DNSに対するカミンスキー攻撃への対策はどれか。
- ア：DNSキャッシュサーバと権威DNSサーバとの計2台の冗長構成とすることによって，過負荷によるサーバダウンのリスクを大幅に低減させる。
- イ：SPFを用いてDNSリソースレコードを認証することによって，電子メールの送信元ドメインが詐称されていないかどうかを確認する。
- ウ：SQL文の組立てにプレースホルダを用いることによって，不正なSQL文によるDNSリソースレコードの書換えを防ぐ。
- エ：問合せ時の送信元ポート番号をランダム化することによって，DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。
TSUNAGARU-ADVICE
まず押さえたいこと
カミンスキー攻撃は、DNSキャッシュサーバに対して偽の応答を先に送り込み、誤ったDNS情報をキャッシュさせる攻撃です。
迷ったときの判断軸
この攻撃への対策では、DNS応答を推測しにくくすることが重要です。したがって、問合せ時の送信元ポート番号をランダム化して、偽の応答が一致する確率を下げるという考え方で整理すると判断しやすくなります。
科目Bにつなげるために
科目Bでは、DNSに対する攻撃を名前で覚えるだけでなく、どの値を攻撃者が当てようとしているのかを理解しておくことが重要です。DNSキャッシュポイズニングでは、問い合わせIDや送信元ポート番号のような一致条件を推測しにくくする対策が有効だと結び付けて整理しておきましょう。
カミンスキー攻撃は、DNSキャッシュサーバへ偽のDNS応答を送り込み、誤った名前解決情報をキャッシュさせるDNSキャッシュポイズニング攻撃です。
問合せ時の送信元ポート番号をランダム化すると、攻撃者はDNSのトランザクションIDに加えて送信元ポート番号も一致させる必要があるため、偽の応答が受け入れられる確率を大幅に低減できます。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：DNSキャッシュサーバと権威DNSサーバとの計2台の冗長構成とすることによって，過負荷によるサーバダウンのリスクを大幅に低減させる。
⇒冗長化は、障害や過負荷に対する可用性を高める対策です。偽のDNS応答を受け入れさせるカミンスキー攻撃への直接的な対策ではありません。
イ：SPFを用いてDNSリソースレコードを認証することによって，電子メールの送信元ドメインが詐称されていないかどうかを確認する。
⇒SPFは、送信元メールサーバのIPアドレスが送信元ドメインによって許可されているかを確認する送信ドメイン認証の仕組みです。DNSキャッシュポイズニングを防ぐ仕組みではありません。
ウ：SQL文の組立てにプレースホルダを用いることによって，不正なSQL文によるDNSリソースレコードの書換えを防ぐ。
⇒プレースホルダは、SQLインジェクションへの対策です。カミンスキー攻撃はSQL文を悪用する攻撃ではなく、偽のDNS応答によってキャッシュ内容を汚染する攻撃です。