令和7年度 春期 情報処理安全確保支援士 午前II 問4

各選択肢の解説

ア

DNS キャッシュサーバと権威 DNS サーバとの計2台の冗長構成とすることによって、過負荷によるサーバダウンのリスクを大幅に低減させる。

誤りです。サーバを冗長構成にするのは、過負荷や障害によるサーバダウンへの可用性対策です。カミンスキー攻撃は、存在しないサブドメインへの問合せを繰り返させ、その隙に偽の応答をキャッシュさせるポイズニング攻撃です。サーバの台数を増やしても、偽情報を受け入れることは防げません。

イ

SPF を用いて DNS リソースレコードを認証することによって、電子メールの送信元ドメインが詐称されていないかどうかを確認する。

誤りです。SPFは、送信元ドメインのDNSのTXTレコードに正規の送信サーバのIPアドレスを公開し、受信側が電子メールの送信元を検証する送信ドメイン認証技術です。DNSのリソースレコード自体の正当性を保証するものではなく、キャッシュポイズニング対策にはなりません。レコードの認証を担うのはDNSSECです。

ウ

SQL 文の組立てにプレースホルダを用いることによって、不正な SQL 文によるDNS リソースレコードの書換えを防ぐ。

誤りです。プレースホルダを用いてSQL文を組み立てるのは、SQLインジェクションへの対策です。カミンスキー攻撃は、DNSプロトコル上で偽の応答パケットを送り込み、キャッシュを汚染する攻撃です。SQL文を経由しないので、プレースホルダでは防げません。

エ

問合せ時の送信元ポート番号をランダム化することによって、DNS キャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。

正しいです。偽の応答を受け入れさせるには、16ビットのトランザクションIDと問合せ時の送信元ポート番号の両方を一致させる必要があります。送信元ポート番号をランダム化すると、攻撃者が推測すべき組合せが大幅に増えます。その結果、DNSキャッシュサーバに偽情報がキャッシュされる確率を大きく下げられます。