令和7年度 秋期 情報処理安全確保支援士 午前II 問8

各選択肢の解説

ア

マルウェアが、CDN の機能を悪用し、実際の通信先を隠蔽して攻撃者のサーバに接続する。

正しいです。ドメインフロンティングでは、TLSのSNIやDNS問合せには同じCDN上にある正規の有名ドメインを使い、暗号化されたHTTPのHostヘッダにだけ攻撃者のドメインを指定します。CDNがHostヘッダに従って攻撃者のサーバへ転送するので、実際の通信先を隠したままC&C通信ができます。

イ

マルウェアが、DNS キャッシュサーバに偽のDNS情報を蓄積させる。

誤りです。DNSキャッシュサーバに偽の応答を送り込み、誤ったIPアドレスなどの情報を蓄積させるのはDNSキャッシュポイズニングです。CDNの共有基盤とSNI・Hostヘッダの食い違いを利用して通信先を隠すドメインフロンティングとは、仕組みが異なります。

ウ

マルウェアが、送信元 IP アドレスを攻撃対象に偽装した DNS リクエストを多数のDNSキャッシュサーバに送信し、攻撃対象のサーバをダウンさせる。

誤りです。送信元IPアドレスを攻撃対象に偽装したDNS問合せを多数のキャッシュサーバへ送り、大きな応答を攻撃対象へ集中させる手口はDNSリフレクション(DNSアンプ)攻撃です。これはサービス停止を狙うDDoSであり、通信先の隠蔽を目的とするドメインフロンティングではありません。

エ

マルウェアが、ドメイン情報を管理しているサイトに不正にアクセスし、ドメイン情報を書き換える。

誤りです。ドメイン登録情報を管理するレジストラなどに不正にアクセスし、登録情報やネームサーバ設定を書き換えるのはドメイン名ハイジャックです。ドメインフロンティングはドメイン情報を改ざんせず、正規ドメインを表向きの通信先として見せるだけです。