令和6年度 秋期 情報処理安全確保支援士試験 午後 問2 ドメイン名変更とDMARC導入

情報システムの現状における、設定対象の適切な名称を問う問題です。

表1および表2の文脈において、現在運用されているメールサービスの設定やドメインに関する管理対象を特定する必要があります。問題文の状況から、移行対象あるいは管理対象となっているドメイン名は A社ドメイン名 です。

高得点のポイント

• 文脈から対象となるドメインが「A社ドメイン名」であることを正確に特定し、そのまま用語として記述できているか。

ドメイン名の管理やDNSの設定等において、対象となる範囲を問う問題です。

表2の文脈から、設定の対象範囲が限定的ではなく 全て であることを読み取る必要があります。

高得点のポイント

• 文脈を把握し、「全て」という範囲指定を正しく判断して記述できているか。

SMTP通信自体を暗号化するための 通信プロトコル を問う問題です。

メール送信時に用いられる SMTP 通信を、SSL/TLSを用いて暗号化したプロトコルを SMTPS（SMTP over SSL/TLS）と呼びます。

高得点のポイント

• SMTPの暗号化プロトコルとして SMTPS を正確に導出できているか。
• 指定された文字数（英字10字以内）を守り、正確な綴りで記述できているか。
• ※ 採点講評にもある通り、S/MIME はメール本文や添付ファイルそのものを暗号化・署名する方式であり、SMTPの通信経路を暗号化するプロトコルではないため誤りとなります。プロトコルの役割の違いを正確に理解しておくことが重要です。

DKIM において、送信元ドメインの公開鍵をDNSから取得する際に使用される FQDN（完全修飾ドメイン名） の形式を問う問題です。

DKIMの公開鍵は、DNSのTXTレコードとして以下の形式で公開されます。
セレクタ名._domainkey.ドメイン名

本問の状況において：

• 使用するセレクタ名：z2024（表6より）
• 送信元ドメイン名：z-sha.co.jp

これらを組み合わせると、公開鍵を取得するためのFQDNは z2024._domainkey.z-sha.co.jp となります。

各選択肢の解説

• ア: セレクタ名が誤っており、また _dkim という誤ったサブドメインが使用されています。
• イ: セレクタ名が rsa-sha256 となっており誤りです。（これは暗号化アルゴリズムです）
• ウ: _domainkey ではなく _dkim となっており誤りです。
• エ: 正解です。正しい形式（セレクタ名._domainkey.ドメイン名）となっています。
• オ: _domainkey が欠落しており誤りです。

DMARC の導入初期における適切なポリシー設定を問う問題です。

DMARCポリシー（p=タグ）には、以下の3つの値を設定できます。

1. none: 何もしない（モニタリングのみ）。
2. quarantine: 迷惑メールフォルダ等に隔離する。
3. reject: メールの受信を拒否する。

DMARC導入の初期段階では、正規のメールが誤って拒否・隔離されるリスクを防ぐため、まずは影響を調査する目的で none を設定し、レポートを受信して状況を確認するのが一般的です。

各選択肢の解説

• ア: accept はDMARCのポリシー値として存在しません。
• イ: 正解です。導入初期の段階では、影響を確認するために none を設定します。
• ウ: quarantine は隔離を指示するポリシーであり、影響確認が終わった後の段階で適用を検討する設定です。
• エ: receive はDMARCのポリシー値として存在しません。
• オ: reject は拒否を指示する厳格なポリシーであり、影響確認の段階で設定するのは不適切です。

ドメイン名を維持せずに失効させた場合のリスク（ドメイン名ハイジャック / ドロップキャッチ）について問う問題です。

A社ドメイン名を解約して手放した場合、第三者がそのドメイン名を取得することが可能になります。攻撃者がかつて信頼されていたA社ドメイン名を取得してWebサイトを立ち上げると、元のA社ドメインの信頼性を悪用してユーザーを騙すことができます。

具体的には、かつての正規サイトであると誤認させ、ソフトウェア修正プログラム に見せかけた マルウェア をダウンロードさせるなどの攻撃手法が考えられます。

高得点のポイント

• 第三者に取得されたドメインがどのように悪用されるか（マルウェアの配布など）を具体的にイメージできているか。
• 「ソフトウェア修正プログラムに見せかける」という、利用者を騙す具体的な手口を論理的に記述できているか。

ドメイン失効後に、そのドメインのメールアドレスが悪用されることによる具体的な被害の連鎖を問う問題です。

攻撃者がA社ドメイン名を取得してメールサーバを構築すると、かつてのドメイン宛てのメールを受信できるようになります。
もし社員が社外サービスの登録にこの旧メールアドレスを使用し続けていた場合、攻撃者はその社外サービスで パスワード再設定 を要求することで、再設定用のURLが記載されたメールを受け取ることができます。

その結果、攻撃者は任意のパスワードを再設定し、社員の アカウントを乗っ取る ことが可能になります。

高得点のポイント

• 受信するメールの内容: 「社外サービスのパスワード再設定画面のURL」が記載されたメールであることを明記しているか。
• 続きの攻撃の例: パスワードを再設定し、「アカウントを乗っ取る」という最終的な被害を論理的かつ具体的に記述できているか。

SPF レコードにおいて、認証失敗時のアクションを定義する修飾子（Qualifier）を問う問題です。

SPFレコードの末尾に設定される all メカニズムの修飾子には、以下の種類があります。

• +all (Pass): 全て許可する。
• -all (Fail): 許可されていない送信元を完全に拒否する。
• ~all (SoftFail): 許可されていない送信元からのメールも受信するが、疑わしいものとして扱う。
• ?all (Neutral): 許可も拒否もしない。

A社ドメイン名からのメール送信を完全に廃止する場合、第三者によるA社ドメイン名のなりすましメールを確実に防ぐため、明示的に拒否する -all を設定するのが適切です。

各選択肢の解説

• ア: 正解です。認証に失敗したメールを完全に拒否する設定として適切です。
• イ: ?all は Neutral（中立）であり、なりすましを防ぐ効力はありません。
• ウ: block はSPFの修飾子として存在しません。
• エ: deny はSPFの修飾子として存在しません。
• オ: refuse はSPFの修飾子として存在しません。

Uサービス（別のメール送信サービス等）の移行に伴い、SPF 認証を成功させるために必要な追加設定を問う問題です。

新たなサービス（Tサービス）から自社ドメインのメールを送信する場合、その送信元IPアドレスがSPFレコードに登録されていないと、受信側でSPF認証に失敗してしまいます。
したがって、正当な送信元として SPFレコード に Tサービスのメール送信元IPアドレス を追加する見直しが必要です。

高得点のポイント

• 見直しの対象として SPFレコード を正確に挙げられているか。
• 追加する内容として Tサービスのメール送信元IPアドレス であることを論理的に記述できているか。
• ※ 採点講評にあるように、SPFは Subject などのメールヘッダを判定対象としません。仕組みを正確に理解した上で解答することが求められます。

本問は、メーリングリストなどのメール転送サービスを経由した場合における SPF および DKIM の認証失敗のメカニズムについて問う問題です。

SPF認証に失敗する理由

SPF は、送信元IPアドレスを用いて送信者ドメインの正当性を認証する仕組みです。

• Sサービスに登録されているSPFレコードには、Yサービス（メーリングリスト）のIPアドレス が登録されていません。
• そのため、メールがYサービスから転送されて送信された場合、受信側でのIPアドレスベースの認証に失敗します。

DKIM認証に失敗する理由

DKIM は、電子署名を用いてメールの送信元ドメインの正当性と内容の完全性を認証する仕組みです。

• Sサービス で付与されるDKIM署名の計算対象（hタグ）には、Subject（件名）が含まれています。
• 一方で、Yサービス はメーリングリストの仕様として、メールの Subject に通番情報を付加して変更します。
• 署名後に Subject が改変されるため、受信側での署名検証に失敗します。（※ Subject を判定対象外とするSPFと混同しないよう注意が必要です）

高得点のポイント

• SPFについては「SサービスのSPFレコードへの登録内容」と「Yサービスから送信される事実」を結びつけて論理的に記述できているか。
• DKIMについては「hタグにSubjectが含まれること」と「YサービスによるSubjectの書き換え」の両方を漏れなく記述できているか。