DNSキャッシュポイズニング対策としてのソースポートランダマイゼーション

DNS キャッシュポイズニング攻撃は，DNS キャッシュサーバが権威 DNS サーバに名前解決の反復問合せを行っている間に，攻撃者が偽の DNS 応答パケットを大量に送り込み，キャッシュサーバに偽のレコード（IP アドレス等）を蓄積・汚染（ポイズニング）させる攻撃です。 キャッシュサーバは，自身が送信した問合せパケットの「DNS トランザクション ID（16ビット）」および「送信元ポート番号（16ビット）」が一致する応答パケットのみを正当な応答として受け入れます。したがって，トランザクション ID を問合せごとにランダムに変更（推測困難化）することや，送信元ポート番号をランダム化する（ソースポートランダマイゼーション）対策が極めて有効です。したがって正解はイとなります。 各選択肢の解説は以下のとおりです。 マルウェアのリアルタイム隔離は端末やサーバのウイルス対策・EDR の機能であり，DNS キャッシュポイズニングの偽装応答パケットに対する直接対策ではありません。 送信元ポート番号を 53 番に固定すると攻撃者からのポート番号予測が極めて容易になり，攻撃に対する脆弱性が大幅に高まります。 DNS 問合せの標準ポート番号は 53 番であり，通常の DNS 応答処理に関する記述に過ぎず，偽装応答の注入を防ぐことはできません。

DNS キャッシュポイズニング攻撃に対して有効な対策はどれか。

出典令和6年度 秋期 応用情報技術者試験 午前 問42
ア
DNS サーバにおいて，侵入したマルウェアをリアルタイムに隔離する。
イ
DNS 問合せに使用する DNS ヘッダー内の ID を固定せずにランダムに変更する。
ウ
DNS 問合せに使用する送信元ポート番号を 53 番に固定する。
エ
外部からの DNS 問合せに対しては，宛先ポート番号 53 のものだけに応答する。