情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

表４のチェックリストによると、DNSサーバが許可するのはDMZ上の他のサーバからだけ「インターネット上のドメイン名の名前解決を行う問合せ」（カッコはIPA回答）とのことですが、表２のDNSサーバの機能の概要によると、インターネット上のドメイン名の名前解決を行う機能がある。と書いてあります。つまりDMZからだけでなく、インターネットから名前解決を行うと書いてあるように見えます。表４が表２の仕様と変わっていておかしいと思うのですがどうなんでしょうか。

表2には、
「オープンリゾルバ防止機能がある」
ともあります。

オープンリゾルバとは、自ドメインからだけでなくインターネットからの再帰問合せにも応答するようになっている脆弱性のことですから、これを防止しているということは、インターネットからの再帰問合せには応答しないということです。

ちょっとだけ補足します。

T社のDNSサーバには表2において以下の機能があるとあります。
(1) インターネット向けのT社ドメインを管理する機能
(2) インターネット上のドメイン名の名前解決を行う機能
(3) オープンリゾルバ防止機能

(1)はインターネット側から「T社ドメイン(FQDN)」の問い合わせに応答する機能です。
(2)は表4に書かれている機能です。
(3)は助け人さんが回答されている機能です。

もう少し具体的に書くと...
インターネットからの問い合わせについては，"t-sha.co.jp"のドメイン以外は応答しません。
社内からインターネットに存在するドメインについてのの問い合わせはDMZ上の他サーバから以外は受け付けません。
つまり，DNSサーバにとってインターネット側，社内側それぞれの条件が書かれているので相反するものではありません。

さらに(1)を実現するためにDNSサーバはインターネット上に公開されますが，同時にそれはDNS関連攻撃の踏み台にされる可能性があるため，(3)を設定しています。

助け人様、わっつ様、丁寧に説明していただきありがとうございました。
矛盾がないことがよく理解できました、まだまだ勉強不足でした。