応用情報技術者 2014年 秋期 午前2 問43

第三者中継の検出【午前2解説】

正解の理由

解法ステップ

1. 接続元 IP を確認する（自社のグローバルIPか社外か）。
   • 社内IP（AAA系）なら「自社ネットワークからの送信」。
   • 社外IP（BBB系）なら「外部からの接続」。
2. 受信者ドメインが自社ドメインかを確認する。
   • 受信者が自社ドメインなら単なる外部→自社の受信であり、中継とは別問題。
   • 受信者が自社ドメインでないなら、外部への中継の可能性を検討する。
3. 送信者ドメインも含めて、送信者・受信者の両方が自社でないかを判定。
   • 両方とも自社でない＝外部同士のやり取りを自社サーバが仲介している（第三者中継）。
4. 上記条件すべて満たすログが第三者中継を示す（この問題では ウ）。

選択肢別の誤答解説

• ア
  接続元が AAA.168.1.5（自社IP）で、送信者が a.b.c（自社）・受信者が a.b.d（他社）です。これは自社内から外部へ送信している通常の送信ログであり、外部第三者による中継ではありません。社内クライアントや自社の送信サーバが正当に送信しているケースです。
• イ
  接続元が AAA.168.1.10（自社IP）で、送信者・受信者とも a.b.c（自社）です。自社ドメイン間のやり取り（内部配送や自社メールの送受信）であり、中継（外部第三者の利用）には当たりません。
• ウ
  接続元が BBB.45.67.89（社外IP）、送信者 a.b.d、受信者 a.b.e とも自社ドメインでないため、外部の第三者が自社サーバを経由して外部宛に中継していると判断できます。したがって該当します。
• エ
  接続元が BBB.45.67.90（社外IP）、送信者 a.b.d（他社）、受信者 a.b.c（自社）です。これは外部から自社宛に届く通常の受信メールのログであり、外部が自社のサーバを使って第三者同士を中継しているとは言えません。すなわち「外部→自社の受信」であり、第三者中継（オープンリレー）とは別の事象です。

よくある誤解

• 接続元が社外のIPなら常に中継と考える誤り
  → 接続元が外部でも受信者が自社ドメインであれば通常の外部→自社受信であり、中継とは区別する必要があります。
• 送信者ドメインが自社外なら即「悪用」とみなす誤り
  → 送信者が外部であっても受信者が自社であれば通常の受信です。中継かどうかは送信者・受信者両方のドメインと接続元IPの組合せで判断します。
• ログのIPやドメインが詐称されている可能性を無視すること
  → 本問題は詐称がない前提ですが、現実運用では Received ヘッダや接続元の逆引き、認証の有無で詐称を疑うべきです。

補足コラム

• 検出: ログから「接続元IPが社外」かつ「受信者ドメインが自社でない」レコードを抽出する。簡単なログ検索例（syslog等のフォーマットに合わせて調整）：

# 疑わしい中継をgrepで抽出する例（擬似コマンド）
grep "connect from" /var/log/maillog | grep -E "BBB\." | grep -v "rcpt to=.*@a.b.c"

• 確認: SMTPダイアログ（MAIL FROM / RCPT TO）、HELO/EHLO、AUTH の有無、Received ヘッダを照合して不正利用の証拠を収集。
• 対策: リレー制限を外部IPに対して厳格化（認証必須/社内IPのみ許可）、SMTP認証の導入、rate limiting、問題IPのブロック。
• 予防: 定期的なオープンリレーテスト、SPF/DKIM/DMARC の整備、ログ監視の自動化（外部IPで外部宛の送信が急増したらアラート）。

FAQ