ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問4 カミンスキー攻撃の対策

情報処理​安全確保​支援士 令和7年度 春期 午前II、全25問のうちの問4。

出典：令和7年度 春期 情報処理安全確保支援士試験 午前II 問4

DNS に対するカミンスキー攻撃への対策はどれか。

  1. アDNS キャッシュサーバと権威 DNS サーバとの計 2 台の冗長構成とすることによって，過負荷によるサーバダウンのリスクを大幅に低減させる。
  2. イSPF を用いて DNS リソースレコードを認証することによって，電子メールの送信元ドメインが詐称されていないかどうかを確認する。
  3. ウSQL 文の組立てにプレースホルダを用いることによって，不正な SQL 文による DNS リソースレコードの書換えを防ぐ。
  4. エ問合せ時の送信元ポート番号をランダム化することによって，DNS キャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。
答えと解説を開く

正解はエです。

カミンスキー攻撃は、DNS キャッシュポイズニングの一種です。攻撃者は、存在しない名前を次々にキャッシュサーバへ問い合わせさせ、そのたびに権威 DNS サーバより先に偽の応答を送り込みます。偽の応答が受け入れられるには、問い合わせの ID と送信元ポート番号の両方が当たる必要があります。ポート番号をランダムにすると当てるべき組合せが大きく増え、偽の情報がキャッシュされる確率が大きく下がります。正解はエです。

ほかの選択肢が違う理由

  • ア冗長構成は、過負荷や故障への備えです。届いた応答が本物かどうかは見分けないので、偽の応答を防げません。
  • イSPF は、メールを送ってきたサーバが、そのドメインのメールを送ってよいサーバかを確かめる仕組みです。DNS の応答の真偽を確かめる物ではありません。
  • ウプレースホルダは SQL インジェクションの対策です。カミンスキー攻撃は、データベースではなく DNS の応答を偽る攻撃です。

仕組み

問い合わせの ID は 1⁠6 ビットで、6⁠5,5⁠3⁠6 通りしかありません。名前を変えながら何度も挑めば、いつか当たってしまいます。送信元ポート番号もランダムにすると、当てる組合せがおよそ数十億通りに増えます。

ただし、これは当たりにくくするだけの対策です。応答に署名を付けて、本物の権威 DNS サーバの答えかを確かめられるようにする DNSSEC が、根本の対策です。

この問に出る言葉