令和元年度 秋期 午前Ⅱ 問21

✓ これが正解アDNS サーバをキャッシュサーバとコンテンツサーバに分離し，インターネット側からキャッシュサーバに問合せできないようにする。

解説

キャッシュサーバを分離し、外部からの問合せを受けないようにします。

DNS リフレクタ攻撃では、攻撃者が送信元 IP アドレスを攻撃先に偽り、外部から再帰的な問合せを受け付ける DNS サーバへ問合せを大量に送ります。DNS サーバは問合せより大きな応答を偽の送信元、つまり攻撃先へ返すので、攻撃先に大量の通信が押し寄せます。踏み台にされないためには、再帰的な問合せを受け付けるキャッシュサーバを、インターネット側からは使えないようにすることが要点です。自ドメインの情報を外部へ答えるコンテンツサーバと役割を分ければ、外部に向けて再帰的な問合せを受け付ける必要がなくなります。踏み台対策は、誰からの問合せに答えるかを絞る方向で考えると見分けやすくなります。

ほかの選択肢はなぜ違うのか

• イ問合せがあったドメインに関する情報を W…：Whois で問い合わされたドメインの情報を確かめても、外部からの再帰的な問合せに答えてしまう状態は変わりません。偽の送信元へ応答を返す仕組みが残るので、踏み台にされることは防げません。
• ウ一つの DNS レコードに複数のサーバの…：一つのレコードに複数のサーバのアドレスを割り当てて振り分けるのは、DNS ラウンドロビンによる負荷分散の設定です。アクセスを分散させる工夫であり、外部からの問合せを断る対策にはなりません。
• エほかの DNS サーバから送られてくる …：応答の情報をデジタル署名で確かめるのは DNSSEC の仕組みで、偽の情報をキャッシュに入れられる攻撃への対策です。応答の正しさを確かめても、外部の誰にでも答える状態は残るので、踏み台対策にはなりません。