正答2
解説
正解は2です。
DNSキャッシュポイズニング攻撃への有効な対策を問う問題です。
この攻撃は、DNSキャッシュサーバに偽の応答を先に受け取らせ、誤った情報を記憶させるものです。
偽の応答が受理されるには、問合せのIDや送信元ポート番号が一致している必要があります。
【選択肢別解説】
1：× マルウェアの隔離は、侵入されたサーバへの対策です。
偽の応答をキャッシュする問題の対策にはなりません。
2：○ DNSヘッダー内のIDを問合せごとにランダムにすると、攻撃者がIDを推測しにくくなります。
偽の応答が受理される確率を下げられます。
3：× 送信元ポート番号を53番に固定すると、攻撃者に推測されやすくなります。
正しくは送信元ポート番号もランダムに変えるべきです。
4：× 外部からの問合せには宛先ポート番号53で応答するのが通常です。
それだけでは対策になりません。
外部からの再帰的な問合せを制限することが有効です。
【ポイント】
対策には、IDと送信元ポート番号のランダム化、外部からの再帰問合せの制限、DNSSECの導入があります。