2.08.3セキュアなDNSサーバーの実現

LinuCレベル２ 202試験の出題範囲から「2.08.3 セキュアなDNSサーバーの実現」についての例題を解いてみます。
このテーマは、DNSサーバーのセキュアな環境構築に関する内容が含まれます。サイバー攻撃の対象となることも多いDNSサーバー防御に必要な知識が含まれますので、しっかりと理解しておきましょう。

LinuCレベル2 202試験 出題範囲

例題

BINDをchroot環境で動作させる最大のセキュリティ上のメリットを一つ選択せよ。

1. BINDが侵害された際に、攻撃者がアクセスできるファイルシステムの範囲を特定のディレクトリ内に限定できる。
2. 外部からのゾーン転送要求を自動的に拒否し、情報漏洩を防ぐことができる。
3. DNSSECの署名プロセスを高速化し、サーバーの負荷を軽減できる。
4. BINDのプロセスがroot権限で実行されるのを防ぐため、OS全体の特権奪取を阻止できる。

解答と解説

正解は、「１. BINDが侵害された際に、攻撃者がアクセスできるファイルシステムの範囲を特定のディレクトリ内に限定できる。」です。

chroot環境はBINDプロセスのルートディレクトリを仮想的に変更し、攻撃者がアクセスできるBINDデータの範囲を特定のディレクトリに限定するセキュリティ対策です。

インターネットの世界において、名前解決(IPアドレスとFQDNの変換)を担うサーバーであるDNSを攻撃者から守るための機能であり、安定したサーバー運用にも役に立つものです。

なお、BINDのchroot環境については以下で詳細を確認することができます。
https://docs.redhat.com/ja/documentation/red_hat_enterprise_linux/9/html/managing_networking_infrastructure_services/assembly_setting-up-and-configuring-a-bind-dns-server_networking-infrastructure-services
https://docs.redhat.com/ja/documentation/red_hat_enterprise_linux/6/html/deployment_guide/s1-bind

例題作成者

鯨井 貴博 （LinuCエヴァンジェリスト/登録インストラクター、LPI-Japanアカデミック認定校 ゼウスITトレーニングセンター）