問41応用情報技術者 平成29年度 春期

解説

正解は2。キャッシュポイズニングは、DNSキャッシュサーバが外部へ問い合わせている間に、攻撃者が偽の応答を先に届けてキャッシュに偽の情報を覚えさせる攻撃。再帰的な問合せを内部ネットワークからのものだけ受け付けるようにすれば、外部の攻撃者が好きなタイミングで問合せを起こさせて偽の応答を流し込む機会を減らせる。だから2が適切。

• 1は、外部からの再帰的な問合せに答えるサーバはオープンリゾルバと呼ばれ、攻撃の踏み台や標的になりやすく、危険が増える。
• 3は、送信元ポート番号を固定すると、偽の応答に合わせる値を推測しやすくなる。対策はポート番号のランダム化。
• 4は、トランザクションIDも固定すると同じく推測されやすい。IDもランダムに選ぶのが対策。

根拠：RFC 5452（Measures for Making DNS More Resilient against Forged Answers。送信元ポートとIDのランダム化）。