情報処理安全確保支援士試験 午前 無料問題 6 / 10 ・ 分野4: 科目A-2 セキュリティ
ある組織の権威 DNS サーバに、「a8k2q.example.jp」「zt71m.example.jp」のように、example.jp の下に実在しない名前を毎回変えて付けた問い合わせが、多数のキャッシュ DNS サーバを経由して大量に届き、応答が大きく遅れた。経由したキャッシュ DNS サーバも、問い合わせを権威 DNS サーバへ送り続けて処理しきれなくなった。この攻撃はどれか。
- DNS キャッシュポイズニング
- DNS トンネリング
- DNS 水責め攻撃
- DNS リフレクション攻撃
正解と解説を見る
正解: C
正解の理由
DNS 水責め攻撃（ランダムサブドメイン攻撃）は、標的組織のドメインにランダムなサブドメインを付けて DNS へ問い合わせ、標的組織の DNS サーバに高い負荷をかける攻撃である。名前が毎回違うのでキャッシュ DNS サーバのキャッシュに当たらず、すべてが権威 DNS サーバまで送られる。IPA の10大脅威の解説書は、DNS サーバには悪意のある問い合わせと通常の問い合わせの区別が付かないため、根本対策が難しいと述べている。
違う選択肢
「DNS キャッシュポイズニング」… DNS キャッシュポイズニングは、キャッシュ DNS サーバに偽の応答を覚え込ませ、利用者を偽のサイトへ誘導する攻撃である。実在しない名前を次々に問い合わせる手口は、偽の応答を受け入れさせる機会を増やすためにこの攻撃でも使われることがあるが、この場面で起きているのは、権威 DNS サーバとキャッシュ DNS サーバの過負荷である。
「DNS リフレクション攻撃」… DNS リフレクション攻撃は、送信元を標的の IP アドレスに偽って DNS サーバへ問い合わせ、大きな応答を標的へ返させる攻撃である。負荷がかかるのは応答を送りつけられる標的で、問い合わせる名前を毎回変える必要もない。
「DNS トンネリング」… DNS トンネリングは、問い合わせる名前のサブドメインの部分にデータを埋め込み、DNS の通信に見せかけて外部とデータをやり取りする手口である。名前がランダムな文字列に見える点は似ているが、目的は隠れた通信路を作ることで、目立たないよう少ない量で行う。問い合わせの量で DNS サーバを過負荷にする攻撃ではない。
押さえどころ
経由させられたキャッシュ DNS サーバも巻き添えで過負荷になる。自組織のキャッシュ DNS サーバは、外部からの再帰的な問い合わせを受け付けない設定（オープンリゾルバにしない）にし、送信元ごとの問い合わせの量を制限する。権威 DNS サーバの側では、問い合わせの急増を監視し、処理能力に余裕を持たせる。