IPA DNS・電子メールのセキュリティ — 頻出論点と過去問

頻出論点

1. この分野は何か

DNSや電子メールをねらう偽装・盗聴・踏み台攻撃に対し、どの脅威をどの仕組みで防ぐかを扱います。名前解決のキャッシュ汚染対策やDNSSEC、送信ドメイン認証、不正中継対策やメール暗号化の適用範囲を押さえていきます。

2. 実際の出題のされ方

名前解決の改ざん手口やメールの暗号化規格の基本は、ITパスポートで問われます。DNSサーバの管理情報（キャッシュ）を書き換えて利用者を偽サイトへ誘導するDNSキャッシュポイズニングの用語や、すべての通信区間で盗聴のおそれがある環境で添付ファイルを安全に送る手段としてのS/MIMEが出題されています。

キャッシュ汚染・踏み台化への対策や、送信ドメイン認証・不正中継のログ判別は、応用情報技術者や高度試験の午前Iで問われています。公開用と社内用を兼ねるDNSサーバがキャッシュポイズニングを受けた際の被害、問合せヘッダ内のIDのランダム化、公開鍵暗号によるデジタル署名で応答の真正性と完全性を検証するDNSSEC、オープンリゾルバを踏み台にしたDNSリフレクション攻撃が出題されています。また、SPF・DKIMの仕組み、サブミッションポート（587番）とSMTP-AUTHの目的、接続元IPアドレスと送受信ドメインのログ表から外部による第三者中継を見抜く問題が出題されています。

署名・検証の役割分担やDMARC・OP25B、暗号化の鍵単位は、高度試験の午前IIで問われます。DNSSECにおいて権威DNSサーバが署名を付与しDNSキャッシュサーバ（リゾルバ）が検証する分担、カミンスキー攻撃への対策（送信元ポート番号のランダム化）、ゾーン転送の許可先IPアドレス制限、キャッシュサーバと権威サーバの分離による踏み台防止が出題されています。メールに関しては、送信ドメイン認証失敗時の処理方針を宣言するDMARC、ISPが動的IPアドレスを割り当てた端末から外部の25番ポートへ向かう直接通信を遮断するOP25B、PGP・S/MIME（メールアドレスごと）とSMTP over TLS（メールサーバごと）で公開鍵を用意する単位の比較、受信の通信全体をTLSで暗号化するIMAPS、統計的に迷惑メールを判定するベイジアンフィルタが出題されています。

3. 学習のポイント

DNSの対策は、防ぎたいことで3つに分けると整理できます。偽の応答をキャッシュさせないためには、問合せのIDと送信元ポート番号のランダム化と、応答の署名を検証するDNSSECがあります。攻撃の踏み台にされないためには、外部からの再帰的な問合せを受け付けないこと（キャッシュサーバと権威サーバの分離）が要ります。ゾーンの情報を外部に読み出させないためには、ゾーン転送を許可する相手を限定します。

電子メールの対策では、SPFは送信元メールサーバのIPアドレス、DKIMはメールヘッダに付与したデジタル署名で認証し、DMARCはそれらが失敗した際の扱い（何もしない・隔離・拒否）を受信側へ指定します。また、第三者中継のログを読む問題では、IPアドレスとドメイン名が詐称されていない前提で、社外の接続元が、自社と関係のないドメイン同士のメールを中継させている記録を探します。実際の中継を許すかどうかは、自己申告で詐称できる送信者のドメインではなく、自社ドメイン宛てか、接続元が自社ネットワークか、SMTP-AUTHで認証された利用者かで判断します。

4. 間違えやすいところ

DNSSECで防げるのは、偽の応答をキャッシュに取り込んでしまうことです。応答は暗号化されないので、盗聴やゾーン情報の漏えいは防げません。応答を暗号化して盗聴を防ぐとする選択肢や、署名と検証の役割を取り違えた選択肢は誤りです。また、共通鍵を用いるTSIGと混同させる選択肢や、キャッシュポイズニング対策として送信元ポート番号を53番に固定するとする逆の記述にも注意が必要です。

メール分野では、OP25Bの遮断方向を外部から内部への通信やISPのメールサーバを経由する通信と取り違えさせる選択肢があります。OP25Bで防げるのは、ISP内の端末から外部のメールサーバへ直接送り出されるスパムです。外から届くスパムや、ISPのメールサーバを経由して送られるスパムは、OP25Bでは防げません。さらに、DMARCのポリシーに送信元へメールを送り返す設定があるとする記述、認証時にパスワードを平文で送らないだけのAPOPと通信全体をTLSで暗号化するIMAPSの混同、PGP・S/MIMEとSMTP over TLSの公開鍵の単位を入れ替えた選択肢にも気を付けましょう。