DNSに対する攻撃とは？ディーエヌエスにたいするこうげき
DNSに対する攻撃とは、名前解決の仕組みを悪用する攻撃の総称。ゾーン転送を許して内部の名前とアドレスの一覧を丸ごと取られる情報収集型、偽の応答を覚え込ませて別のサーバへ誘導するキャッシュポイズニング、存在しない名前を大量に問い合わせて権威サーバを枯渇させる水責め型に大別され、狙いも対策も型ごとに異なる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
DNSは通信の入口を決める要でありながら、認証を持たないUDPの問合せ応答として設計された。誰でも問い合わせられ、返ってきた応答が本物かを確かめる手段が無い、という当初の前提がそのまま攻撃面になっている。データベースの構築・運用の側にとっても他人事ではなく、接続先ホスト名の解決を乗っ取られれば、アプリケーションは正規の手順のまま偽のサーバへ資格情報とデータを渡してしまう。
具体例
BINDやAmazon Route 53ではゾーン転送を許可する相手を副サーバのアドレスに限定でき、DNSSECは応答に電子署名を付けて偽の応答を検出できるようにする。問合せの送信元ポートを無作為化する対策も、応答を推測して割り込む手口を成立しにくくするために広く実装された。
試験での引っ掛け
水責め（ランダムサブドメイン）攻撃とキャッシュポイズニングは、どちらもDNSを狙う点が同じなので選択肢で並べられる。前者は実在しない名前を浴びせて権威サーバの処理能力を使い切らせる妨害であり、後者は偽の応答を覚え込ませて利用者を別の宛先へ導く欺きで、目的が「止める」と「騙す」に分かれる。したがって対策も別で、ポイズニングにはDNSSECや問合せの多様化が要り、ゾーン転送の制限をいくら厳しくしても防げない。
関連用語
出た過去問
出典：平成28年度 春期 データベーススペシャリスト試験 午前Ⅱ 問21（IPA）
DNSサーバに格納されるネットワーク情報のうち、外部に公開する必要がない情報が攻撃者によって読み出されることを防止するための、プライマリDNSサーバの設定はどれ…
正解：ゾーン転送を許可するDNSサーバを限定する。
要点：ゾーン転送先の限定でゾーン情報の丸ごと取得を防ぐ
ゾーン転送はゾーン情報を丸ごと複製する仕組みなので、無制限に応じると内部向けホスト名など公開不要な情報まで外部に渡ってしまう。プライマリDNSサーバでゾーン転送先をセカンダリDNSサーバだけに限定することで、この情報漏えいを防げる。
出典：平成30年度 春期 データベーススペシャリスト試験 午前Ⅱ 問20（IPA）
DNS水責め攻撃（ランダムサブドメイン攻撃）の方法はどれか。
正解：標的の権威DNSサーバに、ランダムかつ大量に生成した存在しないサブドメイン名を問い合わせる。
要点：存在しないサブドメインの大量問合せで権威DNSを枯渇させる
DNS水責め攻撃は、実在しないランダムなサブドメイン名を大量に問い合わせる攻撃である。キャッシュに存在しない名前なので問合せが必ず権威DNSサーバまで転送され、その権威サーバが処理しきれずサービス不能に陥る。踏み台にされるキャッシュサーバ側にも負荷がかかる。
出典・参考
高度試験 午前I（情報処理安全確保支援士 相当）のシラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (7) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。