TTLとDNSキャッシュとは？
TTLとDNSキャッシュとは、レコードに付与される保持可能時間と、それに従って応答を蓄えるキャッシュの仕組み。値を短くすると切替が速い代わりに問合せ量が増え、長くすると負荷は下がるが誤った情報や汚染された情報が長く居座る。
情報処理安全確保支援士試験の過去問では13回出題されています（2016年度〜2025年度）。
てぃーてぃーえるとでぃーえぬえすきゃっしゅ
TTLとDNSキャッシュの意味
レコードに付与される保持可能時間と、それに従って応答を蓄えるキャッシュの仕組み。値を短くすると切替が速い代わりに問合せ量が増え、長くすると負荷は下がるが誤った情報や汚染された情報が長く居座る。
TTLとDNSキャッシュの具体例
インシデントで切り替えが必要になる可能性のある公開サービスは、平時から数分程度に抑えておく。逆に長い値のまま偽の情報を注入されると、その期間中は正しい応答を返せないため、事故時にはキャッシュの消去を手順に含める。
TTLとDNSキャッシュは試験でどう引っ掛けられる？
短くすれば安全という単純な話ではない点。問合せ回数が増えれば偽装応答を試みる機会も増えるため、可用性と汚染耐性の両面から値を決める必要がある。
TTLとDNSキャッシュと関連する用語
TTLとDNSキャッシュが出た過去問
DNSSECで実現できることはどれか。
正解：DNSキャッシュサーバが得た応答中のリソースレコードが，権威DNSサーバで管理されているものであり，改ざんされていないことの検証
要点：DNSSECは署名で応答の出所と完全性を検証する
DNSSECは、DNSの各リソースレコードにディジタル署名を付け、権威DNSサーバが管理する正当なデータであること、および改ざんされていないことを検証できるようにする仕組みです。信頼の連鎖を親ゾーンから辿って公開鍵の正当性を確認します。通信の暗号化は行わないので、内容の秘匿はできません。
出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問13（IPA）次の攻撃において，攻撃者がサービス不能にしようとしている標的はどれか。 〔攻撃〕 (1) A社ドメイン配下のサブドメイン名を，ランダムに多数生成する。 (2) …
正解：A社ドメインの権威DNSサーバ
要点：ランダムな名前の問合せは権威DNSに集中する
存在しないランダムなサブドメイン名への問合せは、キャッシュサーバに答えが無いため必ずそのドメインの権威DNSサーバへ転送されます。多数のキャッシュサーバ経由で大量の問合せが集中し、権威DNSサーバが応答不能に陥ります。いわゆるDNS水責め（ランダムサブドメイン）攻撃で、標的はA社の権威DNSサーバです。
出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問2（IPA）DNSキャッシュポイズニング攻撃に対して有効な対策はどれか。
正解：DNS問合せに使用するDNSヘッダ内のIDを固定せずにランダムに変更する。
要点：問合せIDとポートのランダム化が偽応答を防ぐ
キャッシュポイズニングは、正規の応答が返る前に偽の応答を注入して成立します。攻撃者は問合せのIDと送信元ポート番号を推測する必要があるため、IDをランダム化し、あわせて送信元ポートもランダム化すれば推測が著しく困難になります。
出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問12（IPA）DNSに対するカミンスキー攻撃（Kaminsky's attack）への対策はどれか。
正解：問合せ時の送信元ポート番号をランダム化することによって，DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。
要点：カミンスキー攻撃対策は送信元ポートのランダム化
カミンスキー攻撃は、存在しないサブドメインへの問合せを大量に発生させ、権威DNSサーバより先に偽の応答を返してキャッシュを汚染するDNSキャッシュポイズニングの手法である。偽装成功にはトランザクションIDと問合せ送信元ポート番号の一致が必要なため、送信元ポートをランダム化して探索空間を広げることが基本的な緩和策となる。根本的な対策としてはDNSSECによる応答の正当性検証がある。
出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問6（IPA）DNS水責め攻撃（ランダムサブドメイン攻撃）の手口と目的に関する記述のうち，適切なものはどれか。
正解：オープンリゾルバとなっているDNSキャッシュサーバに対して，攻撃対象のドメインのサブドメイン名をランダムかつ大量に生成して問い合わせ，攻撃対象の権威DNSサーバを過負荷にさせる。
要点：存在しない名前の大量問合せで権威DNSを圧迫する
DNS水責め攻撃は、存在しないランダムなサブドメイン名を大量に問い合わせる手口です。キャッシュに無いため問合せは必ず対象ドメインの権威DNSサーバへ転送され、オープンリゾルバを多数踏み台にすることで権威サーバを過負荷に追い込みます。
出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問6（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。