エンベデッドシステムスペシャリスト 2024年午前2 問16

問題文

NTPを使った増幅型のDDoS攻撃に対して、NTPサーバが踏み台にされることを防止する対策の一つとして、適切なものはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：NTPサーバの設定変更によって、NTPサーバの状態確認機能（monlist）を無効にする。（正解）

イ：NTPサーバの設定変更によって、自ネットワーク外のNTPサーバへの時刻問合せができないようにする。

ウ：ファイアウォールの設定変更によって、NTPサーバが存在するネットワークのブロードキャストアドレス宛てのパケットを拒否する。

エ：ファイアウォールの設定変更によって、自ネットワーク外からのUDPサービスへのアクセスはNTPサーバへのアクセスだけを許す。

🔒 解説は解答すると表示されます

NTP増幅攻撃対策【午前2解説】

正解の理由

NTPのmonlist機能は、NTPサーバに最近の接続元情報を問い合わせる機能です。攻撃者が送信元IPアドレスを被害者のものに偽装して小さな問い合わせを送ると、NTPサーバから被害者に大きな応答が返されます。これがNTPを使った増幅型DDoS攻撃です。

アのようにmonlistを無効にすれば、攻撃者がNTPサーバを応答の踏み台として悪用する手段を一つ防げます。

解法ステップ

「増幅型」の攻撃では、小さな要求に対して大きな応答が返る仕組みが悪用されます。
NTPで大きな応答を引き起こす機能の一つがmonlistです。
その機能を無効にするアが、NTPサーバを踏み台にされることへの適切な対策です。

選択肢別の誤答解説

ア：monlistを無効にし、増幅に利用される機能を止めます。適切です。
イ：自ネットワーク外のNTPサーバへの問い合わせを制限する設定です。外部から自サーバに偽装要求が届き、大きな応答を返す問題への直接的な対策にはなりません。
ウ：ブロードキャストアドレス宛ての通信を拒否する対策です。ブロードキャストを悪用する攻撃への対策にはなりますが、NTPのmonlistを使う増幅攻撃への対策ではありません。
エ：外部からのUDPアクセスのうちNTPへのアクセスを許可する設定です。攻撃に使われるNTP通信を許可するため、踏み台化の防止にはなりません。

よくある誤解

NTPへの通信を許可すれば安全だと思う：NTPは通常の時刻同期にも使われますが、外部からの要求を許可したままでは攻撃に悪用される可能性があります。
ブロードキャスト対策とNTP増幅対策を混同する：ブロードキャストを使う攻撃と、NTPサーバの応答を利用する攻撃は別の仕組みです。
NTPサーバへの問い合わせを制限すれば十分だと思う：設問の攻撃では、NTPサーバが外部から受けた要求に対して応答する仕組みが悪用されています。monlistの無効化が直接的な対策になります。

補足コラム

増幅型DDoS攻撃では、攻撃者は送信元IPアドレスを被害者のものに偽装して、第三者のサーバへ要求を送ります。第三者のサーバからの応答が被害者に集中するため、攻撃者自身が大量のデータを直接送らなくても大きな通信量を発生させられます。monlistを無効にするほか、不要な外部公開機能を止め、NTPサーバを適切に設定することが重要です。

FAQ

Q. monlistを無効にすると、NTPによる時刻同期もできなくなりますか？
A. 通常の時刻同期機能とは別の機能です。monlistを無効にしても、一般に時刻同期は継続できます。

Q. monlistを無効にすれば、DDoS攻撃をすべて防げますか？
A. いいえ。これはNTPを使った増幅攻撃への対策の一つです。不要なサービスの停止やアクセス制御など、複数の対策を組み合わせる必要があります。

関連キーワード: NTP、monlist、増幅型DDoS攻撃、UDP、送信元IPアドレス偽装

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

エンベデッドシステムスペシャリストを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！