令和7年度 科目A 問5

✓ これが正解イ外部のDNSクライアントからの再帰的問合せを受け付けない設定にする。

解説

外部からの再帰的問合せを受け付けない設定にします。

DNSキャッシュポイズニングは、キャッシュサーバに偽の対応付けを覚えさせる攻撃です。攻撃者がこれを仕掛けるには、まずそのキャッシュサーバに名前解決をさせる必要があります。外部の誰からでも再帰的な問合せを受け付ける設定になっていると、攻撃者が外から自由に問合せを送り込めるため、偽の応答を差し込む機会を作られてしまいます。だから、外部のDNSクライアントからの再帰的問合せを受け付けない設定にすることが対策になります。本来そのキャッシュサーバを使うべき利用者だけに限る、という考え方です。

ほかの選択肢はなぜ違うのか

• アDNSサービスの待ち受けポートを53番に…：待ち受けポートを決まった番号に固定することは、DNSが標準的に使う設定にすぎません。攻撃者が問合せを送り込めるかどうかとは関係がないので、この攻撃への対策にはなりません。
• ウ権威DNSサーバへの問合せに使用するトラ…：問合せに使う識別子を固定すると、攻撃者が偽の応答を作るときに合わせる値が予測しやすくなります。むしろ攻撃を成功させやすくする方向なので、対策とは逆です。
• エ権威DNSサーバへの非再帰的問合せを行う…：権威DNSサーバへ非再帰的に問い合わせる設定は、キャッシュサーバが名前解決を行うときのやり方の話です。外部から問合せを受け付ける入口を絞ることにはならず、この攻撃への対策になりません。