DNSキャッシュポイズニング攻撃の対策

DNSキャッシュポイズニング は、DNSキャッシュサーバが権威DNSサーバへ名前解決を問い合わせている最中に、攻撃者が偽のDNS応答パケットを送り込んでキャッシュ情報を不正に書き換える攻撃です。偽パケットが受け入れられるためには「問合せパケットのTransaction ID」および「送信元ポート番号」を正しく一致させる必要があります。 ア：DNSキャッシュポイズニングは外部から送られる偽のDNS応答パケットによる攻撃であり、サーバ内部のマルウェア侵入とは直接関係ありません。 イ：正解です。問合せごとにDNSヘッダのTransaction ID（16ビット）をランダム化し、さらにソースポートランダム化（送信元ポートのランダム化）を組み合わせることで、攻撃者がIDを推測して偽パケットを一致させる確率を大幅に下げることができます。 ウ：送信元ポート番号を53番に固定すると、攻撃者が推測すべき変数がTransaction IDのみとなり、キャッシュポイズニング攻撃（カミンスキー型攻撃など）が極めて容易になってしまいます。 エ：宛先ポート53番はDNS問合せの標準ポートであり、通常のDNS通信を受け付ける設定にすぎず、偽応答パケットの混入を防ぐ対策にはなりません。

DNSキャッシュポイズニング攻撃に対して有効な対策はどれか。

出典平成31年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11
ア
DNSサーバにおいて，侵入したマルウェアをリアルタイムに隔離する。
イ
DNS問合せに使用するDNSヘッダ内のIDを固定せずにランダムに変更する。
ウ
DNS問合せに使用する送信元ポート番号を53番に固定する。
エ
外部からのDNS問合せに対しては，宛先ポート番号53のものだけに応答する。