DNSキャッシュポイズニングとは？でぃーえぬえすきゃっしゅぽいずにんぐ
DNSキャッシュポイズニングとは、キャッシュDNSサーバに偽の応答を先に受け入れさせ、誤ったIPアドレスを一定時間キャッシュさせる攻撃。以後そのサーバへ問い合わせた利用者はまとめて偽サイトへ誘導される。成立させるには、正規の権威サーバの応答より早く、問合せのIDと送信元ポートを言い当てた応答を返す必要がある。
最終更新：2026-10-06
ネットワークSPを最短で暗記・合格する →背景
DNSの問合せと応答はUDPでやり取りされ、応答が本物かどうかを確かめる仕組みが元々なかった。一度当たればキャッシュの有効期間ぶん効き、しかもキャッシュサーバ1台を汚せば、その配下の利用者全員に効いてしまう。当てにいく速度を現実的な水準まで上げる手法が示されたことで、緩和策の実装が一斉に進んだ経緯がある。
具体例
攻撃側は存在しないホスト名を大量に問い合わせさせ、キャッシュサーバが権威サーバへ再帰問合せを出した隙に、当て推量のIDとポートを載せた偽応答を大量に送り込む。当たれば、そのゾーンの権威サーバ情報ごと差し替えられる。設計側は送信元ポートのランダム化を有効にし、権威サーバとキャッシュサーバを別々に立てる。
試験での引っ掛け
送信元ポートのランダム化は当てにくくする緩和策にすぎず、時間をかければ突破され得る。根本対策は署名で応答の正当性を検証するDNSSEC。またキャッシュサーバを外部から再帰問合せできる状態（オープンリゾルバ）で公開すると、汚染も反射増幅攻撃の踏み台化も同時に招く。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。