DNSに対するカミンスキー攻撃への対策はどれか。

選択肢

• アDNSキャッシュサーバと権威DNSサーバとの計2台の冗長構成とすることによって、過負荷によるサーバダウンのリスクを大幅に低減させる。
• イSPFを用いてDNSリソースレコードを認証することによって、電子メールの送信元ドメインが詐称されていないかどうかを確認する。
• ウSQL文の組立てにプレースホルダを用いることによって、不正なSQL文によるDNSリソースレコードの書換えを防ぐ。
• エ問合せ時の送信元ポート番号をランダム化することによって、DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。

正解と解説

正解：エ 問合せ時の送信元ポート番号をランダム化することによって、DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。

カミンスキー攻撃は、存在しないサブドメインを大量に問い合わせさせて権威DNSサーバへの問合せを誘発し、その応答が返る前に偽の応答を大量に送り込んでキャッシュを汚染する手法です。偽応答が受け入れられるにはトランザクションIDと送信元ポート番号の両方が一致する必要があるため、送信元ポートをランダム化すれば当てるべき組合せが桁違いに増え、成功確率を大幅に下げられます（ソースポートランダマイゼーション）。根本的な対策はDNSSECによる応答の署名検証です。

選択肢ごとの解説

• ア冗長化は可用性の対策で、キャッシュ汚染そのものは防げません。
• イSPFはメール送信元ドメインの詐称対策で、キャッシュポイズニングとは目的が異なります。
• ウプレースホルダはSQLインジェクション対策であり、DNSの問合せ応答には関係しません。
• エ正解。ポート番号のランダム化で偽応答を的中させる確率を下げる、標準的な緩和策です。

同じ分野の他の問題

• DNSSECに関する記述のうち、適切なものはどれか。2023年度 秋期 午前II 問13
• DNSに対するカミンスキー攻撃(Kaminsky's attack)への対策はどれか。2023年度 春期 午前II 問5
• DNSSECで実現できることはどれか。2020年度 10月試験 午前II 問15
• DNSSECに関する記述として、適切なものはどれか。2019年度 秋期 午前II 問18
• DNSキャッシュポイズニング攻撃に対して有効な対策はどれか。2019年度 春期 午前II 問11