情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問18

時刻同期プロトコル【情報セキュリティマネジメント解説】

正解の理由

• 時刻同期専用のプロトコルがNTPであること。
• NTPはUDP/123を用いるため、TCPや別ポートの許可は不要・不適切であること。

解法ステップ

1. 「時刻を同期する通信」つまり何の目的かをはっきりさせる（→時刻同期）。
2. 時刻同期に通常使われるプロトコルを思い出す（→NTP）。
3. 各選択肢のプロトコルの用途と、利用するトランスポート層（TCPかUDP）とポート番号を照らし合わせる。
4. NTPがUDPの123番を使う点から、ファイアウォール設定でUDP/123を許可すればよいと判断する。

選択肢別の誤答解説

• ア: FTP（File Transfer Protocol：ファイル転送に使うプロトコル、TCP/21）
  用途がファイル転送であり、時刻同期とは無関係。さらにFTPはTCPを使うため、UDP/123の通信を許可してもFTPの通信ではない。
• イ: NTP（Network Time Protocol：時刻同期、UDP/123）
  時刻同期専用で、UDPのポート123を使う。これが正解。
• ウ: SMTP（Simple Mail Transfer Protocol：メール送信に使うプロトコル、TCP/25）
  メール配送用のプロトコル。時刻同期とは機能が違う。TCP/25はメールサーバ間の通信ポート。
• エ: SNMP（Simple Network Management Protocol：機器管理用のプロトコル、通常UDP/161およびUDP/162）
  ネットワーク機器の監視・管理用であり、時刻同期のためのプロトコルではない。主に機器の状態を問い合わせたり、トラップを受け取ったりするために使う。

よくある誤解

• NTPはTCPを使うと思い込む
  → NTPは基本的にUDPを使います。TCPとは仕組みが違うため、ファイアウォールでTCPだけ開けてもNTPは動きません。
• 「ポート123を開けば全部OK」と考える
  → インターネット上の任意のNTPサーバを無制限に許可すると、誤設定や悪用（反射型DDoSなど）のリスクが高まります。接続先を絞る運用が望ましいです。
• SNMPや他の管理プロトコルで時刻も取れると誤解する
  → 一部機器は管理プロトコル経由で時刻情報を取得できても、標準的・正確な時刻同期にはNTPが用いられます。

補足コラム

• ファイアウォール設定の運用イメージ
  会社では一般的に、内部サーバは「自社のNTPサーバ」に同期させます。自社NTPサーバだけが外部の信頼できる時刻サーバ（例えば国の時刻サーバやNTPプール）と通信し、ファイアウォールはその外部通信だけを許可する形が安全です。これにより、外部と直接多数の内部端末がやり取りするリスクを減らせます。
• セキュリティ面の注意点
  NTPは古いプロトコルで、認証オプションがあるものの未使用の環境も多いです。外部との時刻同期を許可する場合は、信頼できるサーバを指定し、不要な公開を避ける（公開NTPサーバとして応答しない設定）などの対策を行ってください。
• 簡単な仕組み理解
  NTPクライアント（同期を求める側）は、自分のランダムな送信元ポートから相手のUDP/123へリクエストを出します。相手はUDP/123から返信します。多くのファイアウォールは「状態を追跡する（ステートフル）」ため、外向きに許可されたリクエストへの戻りは自動で通る設定が普通です。

FAQ