情報セキュリティマネジメント試験情報＆徹底解説

DNSキャッシュポイズニング攻撃は、DNSキャッシュサーバに偽の名前解決情報を登録させ、正規のドメイン名に対して不正なIPアドレスを返させる攻撃です。攻撃者がDNSキャッシュサーバに偽のキャッシュ情報を登録させる手順は次のとおりです。

1. 攻撃者は、キャッシュサーバに対して再帰的な問合せを行う
2. キャッシュサーバは、権威DNSサーバ（コンテンツサーバ）に対して非再帰的問合せ（反復問合せ）を行う
3. 攻撃者は、権威DNSサーバが正規の応答を返すよりも先に、キャッシュサーバに偽の応答を送りつける
4. キャッシュサーバは、攻撃者から送られた偽の応答を受理し、キャッシュに登録する。その後、権威DNSサーバから送られた正規の応答は破棄される

• DNSキャッシュポイズニングでは、トランザクションIDや送信元ポートの推測を利用して偽応答を送り込みます。このため、使用するポート番号を既定の53番に固定すると、逆に攻撃を受けやすくなります。対策としては、問合せごとに異なる発信元ポート番号を使用する「ソースポートランダマイゼーション」が有効です。
• 正しい。DNSキャッシュポイズニングでは、攻撃者がキャッシュサーバに対し再帰的な問合せを行うことが攻撃の契機となります。再帰的問合せは、内部ネットワークのホストが外部の名前解決を行うために使用するものであるため、外部からの再帰的問合せを遮断しても業務上の支障は生じません。このため、DNSキャッシュポイズニング対策としては、外部からの再帰的問合せを受け付けないように設定することが有効です。
• DNSキャッシュポイズニングでは、トランザクションIDや送信元ポートの推測を利用して偽応答を送り込みます。このため、トランザクションIDを固定値にした場合、攻撃を受けるリスクは高まります。DNSキャッシュポイズニングは、トランザクションIDと送信元ポートが一致することで成立するため、攻撃を防ぐにはトランザクションIDもランダム化することが適切です。
• DNSキャッシュサーバが権威DNSサーバに対して非再帰的問合せを行うことは、本来の正常な動作であり、これ自体は特別な対策とはいえません。むしろ、この設定を行わない場合、内部ネットワークからの名前解決ができなくなります。