平成25年度 秋期 情報セキュリティスペシャリスト試験 午前II 問14
【問題14】
DNSの再帰的な問合せを使ったサービス不能攻撃(DNS amp)の踏み台にされることを防止する対策はどれか。
キャッシュサーバとコンテンツサーバに分離し、インターネット側からキャッシュサーバに問合せできないようにする。
問合せされたドメインに関する情報をWhoisデータベースで確認する。
一つのDNSレコードに複数のサーバのIPアドレスを割り当て、サーバへのアクセスを振り分けて分散させるように設定する。
他のDNSサーバから送られてくるIPアドレスとホスト名の対応情報の信頼性をデジタル署名で確認するように設定する。
【解説】
ア: キャッシュサーバとコンテンツサーバに分離し、インターネット側からキャッシュサーバに問合せできないようにする。
正しい。DNS amp攻撃は、再帰的な問合せを悪用して踏み台にする手法です。外部からキャッシュサーバへのアクセスを制限することで、攻撃者が応答を増幅して標的に向けるのを防げます。
イ: 問合せされたドメインに関する情報をWhoisデータベースで確認する。
誤り。Whoisはドメイン登録者の情報確認を行う仕組みであり、DNS amp攻撃の防止にはつながりません。
ウ: 一つのDNSレコードに複数のサーバのIPアドレスを割り当て、サーバへのアクセスを振り分けて分散させるように設定する。
誤り。これは負荷分散のための技術であり、DNS amp攻撃の防止策とは関係ありません。
エ: 他のDNSサーバから送られてくるIPアドレスとホスト名の対応情報の信頼性をデジタル署名で確認するように設定する。
誤り。これはDNSSECによる信頼性の検証であり、DNS ampの踏み台化を防ぐ直接的な対策ではありません。
【答え】
ア: キャッシュサーバとコンテンツサーバに分離し、インターネット側からキャッシュサーバに問合せできないようにする。
出典:平成25年度 秋期 情報セキュリティスペシャリスト試験 午前II 問14