平成30年度 秋期 応用情報技術者試験 午前 問39

• ア: コンテンツサーバにキャッシュサーバを兼ねさせ，外部からの再帰的な問合せにも応答
  誤り。外部からの再帰的な問合せを受け付ける（オープンリゾルバ）と，攻撃者が任意の問合せを発生させて偽の応答を送り込みやすくなり，キャッシュポイズニングの危険性が高まります。コンテンツサーバとキャッシュサーバは分離すべきです。

• イ: 再帰的な問合せは内部ネットワークからのものだけを許可
  正しい。再帰的な問合せを内部ネットワークからに限定すれば，外部の攻撃者がキャッシュサーバに問合せを発生させて偽の応答を注入することが難しくなります。キャッシュポイズニング対策として適切です。

• ウ: 送信元のポート番号を固定
  誤り。ポート番号を固定すると，攻撃者が偽の応答を作る際に推測すべき値が減り，攻撃が成功しやすくなります。対策としては送信元ポート番号のランダム化が有効です。

• エ: トランザクションIDを固定
  誤り。トランザクションIDを固定すると偽の応答を一致させやすくなり，攻撃が容易になります。トランザクションIDはランダムにすべきです。

答え

イ: 再帰的な問合せに対しては，内部ネットワークからのものだけを許可するように設定する。