DNSキャッシュポイズニング攻撃の対策｜情報セキュリティマネジメント 令和7年 公開問題 問5
出典：令和7年度 公開問題 科目A 問5
分野：セキュリティ ／ 情報セキュリティ対策
DNSキャッシュサーバでのDNSキャッシュポイズニング攻撃の対策はどれか。
- ア：DNSサービスの待ち受けポートを53番に固定する。
- イ：外部のDNSクライアントからの再帰的問合せを受け付けない設定にする。
- ウ：権威DNSサーバへの問合せに使用するトランザクションIDを固定する。
- エ：権威DNSサーバへの非再帰的問合せを行う設定にする。
TSUNAGARU-ADVICE
まず押さえたいこと
DNSキャッシュポイズニングは、DNSキャッシュサーバに偽の名前解決情報を登録させる攻撃です。対策の一つとして、外部の利用者からの再帰的問合せを受け付けないようにし、攻撃者が外部から任意の名前解決を繰り返し発生させにくくすることが有効です。
迷ったときの判断軸
DNSキャッシュポイズニングでは、偽の応答を正規の応答より先に受け入れさせることが狙われます。そのため、トランザクションIDや問合せ元ポートは固定するのではなく、推測されにくくすることが重要です。また、53番はDNSサーバ側の待受けポートとして通常使われるため、固定すること自体は攻撃対策にはなりません。
科目Bにつなげるために
科目Bでは、DNSサーバの設定や通信の流れから、攻撃者がどこから不正な問合せや応答を送り込めるのかを考えることが重要です。不要な外部アクセスを制限することと、応答の正当性を確認しやすくすることという2つの観点で対策を整理し、DNSSECなどの関連する防御策にもつなげて理解しましょう。
DNSキャッシュポイズニング攻撃は、DNSキャッシュサーバに偽の情報を覚え込ませる攻撃です。
DNSは、ドメイン名をIPアドレスに変換する仕組みです。たとえば、利用者が正規のWebサイトにアクセスしようとしても、DNSキャッシュサーバが偽のIPアドレスを返してしまうと、攻撃者が用意した偽サイトへ誘導されるおそれがあります。
この攻撃のポイントは、DNSキャッシュサーバが正規の応答より先に届いた偽の応答を信じてしまうことです。
つまり、DNSキャッシュポイズニング攻撃は、「正しいドメイン名を入力したのに、偽のIPアドレスへ誘導される状態」を作る攻撃です。
イが適切です。なお、DNSキャッシュポイズニングでは、応答が正規のものか推測しにくくすることも重要です。そのため、トランザクションIDや問合せに使用するポートを固定するのではなく、推測されにくくする方向で対策します。
❌他選択肢が誤りの理由ア：DNSサービスの待ち受けポートを53番に固定する。
⇒DNSサーバが問合せを受け付ける際に53番ポートを使用すること自体は一般的ですが、これによってDNSキャッシュポイズニングを防止できるわけではありません。攻撃対策では、問合せ時に使用する情報を攻撃者に推測されにくくすることが重要です。
ウ：権威DNSサーバへの問合せに使用するトランザクションIDを固定する。
⇒トランザクションIDはDNSの問合せと応答を対応付けるための値です。固定すると攻撃者に値を予測されやすくなり、偽のDNS応答を送り込まれる危険性が高まるため、対策としては逆効果です。
エ：権威DNSサーバへの非再帰的問合せを行う設定にする。
⇒DNSキャッシュサーバが権威DNSサーバなどへ問い合わせながら名前解決を進める際の動作に関する説明です。外部の攻撃者による不正な問合せを制限するものではなく、DNSキャッシュポイズニングへの直接的な対策にはなりません。