DNS 水責め攻撃の影響
ISP の A 社が顧客向けに運用するキャッシュ DNS サーバへの問合せが急増し，次のような問合せが毎秒数万件記録されている。問合せ元はいずれも A 社が顧客に割り当てたアドレスであり，cache 列の MISS は，キャッシュに該当する情報がなく権威 DNS サーバに問い合わせたことを示す。この状況に関する記述として，適切なものはどれか。
time client qname type rcode cache
10:15:01.112 198.51.100.23 qz7k1vx9.example.jp A NXDOMAIN MISS
10:15:01.113 203.0.113.140 m2pd8ra0.example.jp A NXDOMAIN MISS
10:15:01.113 198.51.100.77 x0b4ht6c.example.jp A NXDOMAIN MISS
10:15:01.114 203.0.113.9 7fw2kq1n.example.jp A NXDOMAIN MISS- ア存在しないランダムな名前が毎回問い合わせられるのでキャッシュが効かず，問合せのたびに example.jp の権威 DNS サーバへの問合せが発生し，権威 DNS サーバやこのキャッシュ DNS サーバが過負荷になり得る。
- イNXDOMAIN の応答を保持するネガティブキャッシュの保持時間を延ばせば，以後の問合せにはキャッシュから応答できるので，権威 DNS サーバへの問合せを大幅に減らせる。
- ウ再帰問合せを受け付ける問合せ元を A 社の顧客のアドレスに限定してオープンリゾルバの状態を解消すれば，この問合せは受け付けられなくなる。
- エ権威 DNS サーバへの問合せの送信元ポート番号をランダムにすれば，問合せと応答の対応付けを推測されにくくなるので，権威 DNS サーバへの問合せが減る。
正解と解説を見る
正解 ア
この問題の基礎知識
- キャッシュ DNS サーバは，キャッシュにない名前の問合せを受けると権威 DNS サーバに問い合わせ，得た応答を TTL の間キャッシュして，同じ名前の問合せにはキャッシュから応答する。
- NXDOMAIN は問い合わせた名前が存在しないことを示す応答コードである。この否定応答もネガティブキャッシュとして保持され，同じ名前の問合せに使われる。
- DNS 水責め攻撃（ランダムサブドメイン攻撃）は，標的のドメイン名にランダムな文字列を付けた存在しない名前を大量に問い合わせる DDoS 攻撃であり，ボットに感染した機器などからキャッシュ DNS サーバを経由して行われることがある。
- 再帰問合せの受付元を制限するオープンリゾルバ対策は外部からの悪用を，送信元ポート番号のランダム化はキャッシュポイズニングを防ぐ対策であり，それぞれ防ぐ脅威が異なる。
ア存在しないランダムな名前が毎回問い合わせられるのでキャッシュが効かず，問合せのたびに example.jp の権威 DNS サーバへの問合せが発生し，権威 DNS サーバやこのキャッシュ DNS サーバが過負荷になり得る。正解
ランダムサブドメイン攻撃（DNS 水責め攻撃）の状況である。問合せ名が毎回異なるのでキャッシュから応答できず，再帰問合せのたびに権威 DNS サーバへ問い合わせる。正当な問合せとの区別が難しく，権威 DNS サーバとキャッシュ DNS サーバの両方に負荷が掛かる。
イNXDOMAIN の応答を保持するネガティブキャッシュの保持時間を延ばせば，以後の問合せにはキャッシュから応答できるので，権威 DNS サーバへの問合せを大幅に減らせる。
ネガティブキャッシュは問い合わせた名前ごとに保持されるので，毎回異なるランダムな名前の問合せには一致しない。保持時間を延ばしても，権威 DNS サーバへの問合せはほとんど減らない。
ウ再帰問合せを受け付ける問合せ元を A 社の顧客のアドレスに限定してオープンリゾルバの状態を解消すれば，この問合せは受け付けられなくなる。
オープンリゾルバの解消は外部からの悪用を防ぐ対策であるが，ログの問合せ元はいずれも A 社の顧客のアドレスなので，限定した後も受け付けられる。顧客の感染機器などからの問合せには効果がない。
エ権威 DNS サーバへの問合せの送信元ポート番号をランダムにすれば，問合せと応答の対応付けを推測されにくくなるので，権威 DNS サーバへの問合せが減る。
送信元ポート番号のランダム化は，偽の応答を受け入れにくくしてキャッシュポイズニングを防ぐ対策である。キャッシュにない名前は従来どおり権威 DNS サーバに問い合わせるので，問合せの数は減らない。
検証用の出典出典照合済み
RFC 5452 Measures for Making DNS More Resilient against Forged Answers ／ RFC 8198 Aggressive Use of DNSSEC-Validated Cache ／ RFC 2308 Negative Caching of DNS Queries (DNS NCACHE)照合の根拠（4 件）
- ア（正解）: ランダムな名前の問合せはキャッシュが効かず，問合せのたびに権威 DNS サーバへ問い合わせるので，権威 DNS サーバ（やリゾルバ）が過負荷になる
"random QNAME attacks", in which attackers send many queries for random subdomains to resolvers. As the resolver will not have the answers cached, it has to ask external servers for each random query, leading to a DoS on the authoritative servers (and often resolvers).
RFC 8198 · Section 6（新しいタブで開きます） - イ: NXDOMAIN のネガティブキャッシュは同じ問合せ名にしか使われないので，毎回異なる名前には効かない
A negative answer that resulted from a name error (NXDOMAIN) should be cached such that it can be retrieved and returned in response to another query for the same <QNAME, QCLASS> that resulted in the cached negative response.
RFC 2308 · Section 5（新しいタブで開きます） - イ: ネガティブキャッシュは原則として完全一致を要する
The DNS negative cache caches negative (non-existent) information, and requires an exact match in most instances [RFC2308].
RFC 8198 · Section 3（新しいタブで開きます） - エ: 送信元ポート番号のランダム化は偽の応答の受入れ（キャッシュポイズニング）を防ぐ対策で，権威 DNS サーバへの問合せの数を減らすものではない
This document recommends the use of UDP source port number randomization to extend the effective DNS transaction ID beyond the available 16 bits. A resolver that does not implement the recommendations outlined above can easily be forced to accept spoofed responses,
RFC 5452 · Section 10（新しいタブで開きます）
ウは，ログの問合せ元がいずれも A 社の顧客のアドレスであるという問題文の条件から，問合せ元を顧客に限定しても受け付けられることが論理的に明らか。IPA の資料は取得していない（RFC 8198 Section 6 で仕組みを裏付けた）。