DNSキャッシュポイズニングとは？でぃーえぬえすきゃっしゅぽいずにんぐ
DNSキャッシュポイズニングとは、キャッシュDNSサーバに偽の応答を先に受け入れさせ、誤ったIPアドレスを一定期間キャッシュさせる攻撃で、利用者を気づかせずに偽サイトへ誘導できる。運用の場面では、被害が自組織のサーバではなく利用者側に出るうえ、キャッシュのTTL（生存時間）が切れるまで誤った情報が居座るため、検知が遅れやすい点が厄介になる。
最終更新：2026-10-06
ITサービスマネージャを最短で暗記・合格する →背景
キャッシュDNSサーバは、上位へ問い合わせた結果を一定時間覚えて再利用する。この効率化のための仕組みが、そのまま攻撃対象になった。応答の正しさを、問い合わせIDと送信元ポートが一致することでしか確かめていなかったため、これらを推測して正規の応答より早く偽物を届ければ、その情報が全利用者に配られる。効率のための共有が、被害の増幅にもなるという構造である。
具体例
2008年に公表されたカミンスキー型の手法では、存在しない名前を大量に問い合わせながら、上位の権威サーバの応答より早く偽応答を送り込むことで、当てる試行を短時間で繰り返せることが示され、世界中のDNS実装が一斉に送信元ポートの乱数化へ対応した。運用側の対処としては、キャッシュサーバを外部からの再帰問い合わせに応じない設定にすること、および誤った情報を掴んだ疑いがあるときにキャッシュを消去する手順を、あらかじめ手順書に持っておくことが要る。
試験での引っ掛け
送信元ポートのランダム化は推測を困難にする緩和策であって根本対策ではなく、署名で正当性を検証するDNSSECが根本対策にあたる。運用側の混同として多いのは、自組織の権威サーバに異常がないことをもって「影響なし」と判断することで、汚染されるのは利用者側のキャッシュサーバなので、自社の機器は正常なまま被害だけが発生する。また、キャッシュを消しても攻撃が続いていれば再び汚染されるため、消去は復旧手順であって対策ではない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。