DNSの再帰的な問合せを使ったサービス妨害攻撃（DNSリフレクタ攻撃）の踏み台にされないための対策はどれか。

選択肢

• アDNSサーバをDNSキャッシュサーバと権威DNSサーバに分離し、インターネット側からDNSキャッシュサーバに問合せできないようにする。
• イ問合せがあったドメインに関する情報をWhoisデータベースで確認してからDNSキャッシュサーバに登録する。
• ウ一つのDNSレコードに複数のサーバのIPアドレスを割り当て、サーバへのアクセスを振り分けて分散させるように設定する。
• エほかの権威DNSサーバから送られてくるIPアドレスとホスト名の対応情報の信頼性を、デジタル署名で確認するように設定する。

正解と解説

正解：ア DNSサーバをDNSキャッシュサーバと権威DNSサーバに分離し、インターネット側からDNSキャッシュサーバに問合せできないようにする。

DNSリフレクタ攻撃の踏み台になるのは、外部の誰からでも再帰的問合せを受け付けてしまうオープンリゾルバである。キャッシュサーバ（再帰問合せに応じる）と権威サーバ（自ゾーンの応答だけ返す）を分離し、キャッシュサーバへの問合せは内部からだけに制限することで、踏み台にされることを防げる。

選択肢ごとの解説

• ア正しい。キャッシュサーバを分離して外部からの再帰問合せを受け付けないようにする。
• イWhoisによる確認は再帰問合せの受付制限にはならず、踏み台対策にならない。
• ウ複数IPを割り当てる負荷分散は可用性の対策で、踏み台対策ではない。
• エデジタル署名による検証はDNSSECの領分で、キャッシュ汚染への対策である。

同じ分野の他の問題

• DNSSECの機能はどれか。2025年度 春期 午前II 問20
• DNSサーバで管理されるネットワーク情報の中で、外部に公開する必要がない情報が攻撃者によって読み出されることを防止するた…2022年度 春期 午前II 問18
• DNSの再帰的な問合せを使ったサービス妨害攻撃（DNSリフレクタ攻撃）の踏み台にされることを防止する対策はどれか。2019年度 秋期 午前II 問21
• DNSの再帰的な問合せを使ったサービス不能攻撃（DNS amp攻撃）の踏み台にされることを防止する対策はどれか。2017年度 秋期 午前II 問21
• DNSSECの機能はどれか。2017年度 秋期 午前II 問19