ネットワークスペシャリスト 2014年 午後1 問03

解答の論理構成

• 【問題文】には「多数のコンピュータが標的サーバを集中的に攻撃する ア 型DoS攻撃」とあり、複数端末が協調して行うDoSは “Distributed” ＝「分散型」です。したがって[ア]は「分散」です。
• 次に「TCPのパケットを大量に送信し…SYN イ 攻撃や、…UDPパケットを使ったUDP イ 攻撃」と記載されています。「SYN Flood」「UDP Flood」が典型例なので、[イ]は「フラッド」となります。
• DNSについては「他のDNSサーバにも問合せを行い、最終的な結果を返信する ウ 的な問合せ」と記されています。他のサーバへ問い合わせを転送し応答を返す方式は “recursive query” であり、邦訳は「再帰問い合わせ」です。よって[ウ]は「再帰」です。
• 同じ文中で「発信元のIPアドレスを詐称して、その問合せの結果を標的サーバ宛てで送信させるDNS エ 攻撃」とあります。問合せを第三者サーバに送りつけ、その応答を跳ね返させるタイプは “reflector attack” なので[エ]は「リフレクタ」です。
• 「実際に脆弱性があるかどうか調査するための侵入検査、いわゆる オ テスト」という一文があります。侵入検査を英語で “penetration test” と呼ぶため、[オ]は「ペネトレーション」となります。

誤りやすいポイント

• [ア]で「大規模」「ボットネット」などと書いてしまうケースが多いですが、キーワードは “Distributed”＝「分散」に直結します。
• [イ]は攻撃手法の末尾語を問う設問です。「SYN Flood」を「SYN Spoof」と誤記しやすいので注意してください。
• DNSに関する[ウ]・[エ]は「再帰」「リフレクタ」のセットで覚えておくと混同しにくくなります。
• [オ]は“Penetration”が正式語。「ペネトレ―ション」など表記揺れを書かないようにしましょう。

FAQ

解答の論理構成

1. 問題文の該当箇所の確認
   セリフ中に「オープンリゾルバを用いた攻撃」に触れたあと、F氏が
   「自らも攻撃の a とならないようにすることが重要」
   と述べています。
2. オープンリゾルバを悪用する典型的な攻撃手法
   発信元IPアドレスを詐称し、第三者のDNSサーバに問い合わせを行わせることで標的に大量の応答パケットを送りつける「DNS エ 攻撃」（DNSアンプ攻撃／DNSリフレクション攻撃）が代表例です。
   このとき第三者のDNSサーバは攻撃者と標的の間で “中継点” として使われます。
3. “中継点” を指す情報セキュリティ用語
   不正アクセスやDoS攻撃で第三者マシンを経由地に利用する行為は、実務でも試験対策でも「踏み台にされる」「踏み台として利用される」と表現されます。
4. 空欄 [a] に適切な語
   よって「自らも攻撃の a とならないようにする」の [a] には
   「踏み台」
   が入るのが妥当です。

誤りやすいポイント

• 「中継」「経由地」など一般語で書いてしまう
  用語として求められているのは情報セキュリティ分野で定着した「踏み台」です。
• DNS専用語と混同する
  「リゾルバ」「キャッシュサーバ」といった機能名を空欄に当てはめる誤答が見られますが、文脈は“自組織が攻撃手段に使われる”リスクを指摘しています。
• オープンリゾルバ＝攻撃の主体と誤解
  試験では「踏み台」は攻撃の“発信源”ではなく“利用される側”を示す点に注意が必要です。

FAQ

解答の論理構成

1. 問題文は「大量のパケットを送信する攻撃として、大きなサイズのICMPエコー応答を使ったものがある」と述べています。これは一般に “Ping of Death” と呼ばれ、規格上の最大サイズを超えるICMPエコーを複数のIPフラグメントに分割して送り付け、再組立て時にシステム資源を枯渇させるDoS手法です。
2. ファイアウォールで対策するなら、攻撃の鍵となる「フラグメント化された エコーパケット」を通さなければ被害を防止できます。
3. したがって、図1の FW が備えるべき具体的機能は「断片化されたエコーパケットを許可しない」ことになります。

誤りやすいポイント

• ICMPを全面的にブロックする回答
  → 正常なネットワーク診断にもICMPが必要なため過剰防衛です。
• 「パケット数のしきい値超過で遮断」などレート制限系の回答
  → 本攻撃の本質はパケットサイズと断片化にあるため的外れです。
• 「シーケンス番号をチェックする」などTCP/UDP前提の回答
  → 問題文はICMPを対象としており、プロトコルを取り違えています。

FAQ

解答の論理構成

1. 【問題文】では、DNSのセキュリティ対策方針として
   「①DMZのDNSサーバは、キャッシュ機能を無効にしたセカンダリの冗長構成として…」
   と明記されています。
2. DMZ内のDNSサーバはインターネットから直接問い合わせを受ける位置にあります。
   キャッシュ機能を有効にしたままだと、外部に公開された “オープンリゾルバ” となり得ます。
3. オープンリゾルバは、問い合わせ元を偽装した悪意ある応答を注入される危険性があります。これが典型的な “DNSキャッシュポイズニング” です。
4. したがって、①の対策を取らない場合に想定される脆弱性は
   「DNSキャッシュが改ざんされる。」となります。

誤りやすいポイント

• 「ゾーン転送が漏えいする」と勘違いしやすいですが、①の主語は “キャッシュ機能” なのでフォーカスが異なります。
• DoS／DDoSの「DNS エ 攻撃」ばかりを連想してしまい、キャッシュポイズニングのリスクを見落とすケースがあります。
• DMZ＝インターネット側だから「キャッシュはあった方が高速化になる」と性能面だけで判断してしまい、セキュリティ面の影響を軽視しがちです。

FAQ

解答の論理構成

1. DMZ側の役割
   • 問題文に「①『DMZのDNSサーバは、キャッシュ機能を無効にしたセカンダリの冗長構成』」とあるので、DMZには少なくとも２台のセカンダリDNSサーバ (DNS-S) を配置し、互いに冗長化する。
   • インターネット利用者からの名前解決要求を直接受けるのはDMZ側であるため、図では「インターネット → DNS-S」の実線矢印（DNS問合せ）が必要になる。
2. 内部セグメント側の役割
   • 「内部セグメントのDNSサーバは、プライマリ、セカンダリ、キャッシュをそれぞれ別のサーバ機器で稼働させる」と指示されている。
   • よって内部セグメントにDNS-P (プライマリ)、DNS-S (セカンダリ)、DNS-C (キャッシュ) を１台ずつ描く。
3. ゾーン転送の方向
   • 外部向けゾーン：問題文冒頭の「DNSサーバが管理するドメインを、DMZ（外部向けゾーン）と内部セグメント（内部向けゾーン）に分け、それぞれゾーン転送を行う」に従い、プライマリであるDNS-PからDMZ側のDNS-Sへ太破線矢印（双方向）を描く。
   • 内部向けゾーン：さらに「内部セグメントのプライマリDNSサーバには、DNSの問合せが来ないようにし、ゾーン転送の宛先は自庁内のセカンダリサーバに限定する」とあるので、DNS-P ↔ 内部DNS-S間にも太破線矢印を描く。
4. DNS‐Cの問い合わせ経路
   • キャッシュDNS-Cは社内PCの一次問い合わせ先なので「PC → DNS-C」を実線で示す。
   • キャッシュは名前解決のために (a) インターネットの上位DNS、(b) DMZ内の外部向けDNS-S、(c) 内部向けのDNS-Sを使うため、それぞれ「DNS-C → インターネット」「DNS-C → DMZ内の２台のDNS-S」「DNS-C → 内部DNS-S」の実線矢印を追加する。
5. DMZ内２台のDNS-S間の同期
   • 「冗長構成」と明記されているため、DMZ内の２台間でもゾーン情報を同期させる。図では左右のDNS-S間に太破線矢印を引く。
6. FW設定との整合性
   • 問題文末尾の「FWにおいて、内部セグメントのDNSサーバからDMZのDNSサーバへの通信は、TCP/UDPともポート番号53番だけを許可する」により、内部からDMZへはDNS関連の通信（問合せ／ゾーン転送）しか流さないことが確認できる。

誤りやすいポイント

• 「キャッシュ機能を無効にしたセカンダリ」を１台だけ描いてしまい、冗長性を満たさない。
• 内部DNS-PからDMZ DNS-Sへのゾーン転送を禁止と早合点し、太破線矢印を欠落させる。
• キャッシュDNS-CからDMZ DNS-Sへの問合せ経路を描かず、外部向け名前解決ができない構成にしてしまう。
• PCが直接DMZや外部DNSへ問合せを送る矢印を書き、キャッシュDNS-Cを経由させないミス。

FAQ

解答の論理構成

1. 問題文は、内部マルウェアが外部へ通信するケースを懸念して「②外部からの不正アクセスだけでなく、内部から外部への通信にも十分に注意しなければならない」と明記しています。
2. “十分に注意”を実現する担当装置は本文にたびたび登場する「FW（ファイアウォール）」であり、設問でも「FWでの対策」を要求しています。
3. 不正通信を“防止”するには、FWに「内部から外部へ向かう不要ポート・宛先を遮断するルール」が不可欠です。DNSの例でも「TCP/UDPともポート番号53番だけを許可する」と限定しており、これは典型的なアウトバウンドフィルタリングです。
4. ただし遮断だけでは潜伏マルウェアの試行を見逃す恐れがあります。検知・分析という“発見”機能を担保するため、FWが出力する「遮断ログ」を継続的に監視・分析し、異常を早期に把握する必要があります。
5. 以上より、解答は
   　①内部から外部への通信を遮断するルール設定
   　②FWで遮断した通信ログの監視
   となります。

誤りやすいポイント

• IPSやIDSなど他装置の対策を書いてしまい、FWに限定しない。
• 単に「ログを取得する」とだけ書き、“監視”や“分析”まで言及しない。
• 「通信を許可するホワイトリストを作る」と記述し、遮断というキーワードを欠落させる。
• 入口対策（外部→内部）ばかりを強調し、出口対策（内部→外部）を具体化しない。

FAQ

解答の論理構成

• 【問題文】の図3では、セキュリティ担当者の作業手順が
  “＜セキュリティ担当者の対応＞ (1) 状況把握と記録 (2) 対処方法の確認 (3) b (4) 原因の特定と対処 …”
  と示されています。
• (4) に “原因の特定と対処” が置かれているため、(3) には原因調査より先に“被害の拡大を防ぐ即時措置”が入ると読み取れます。
• さらに会話文で、F氏は“②外部からの不正アクセスだけでなく、内部から外部への通信にも十分に注意しなければならない”と述べており、攻撃経路を遮断する重要性を強調しています。
• よって、重大インシデント発生時にまず実施すべきネットワーク作業は「通信経路の遮断」、すなわち“ネットワークの切断”となります。

誤りやすいポイント

• “機器の電源停止”と誤解する
  └ 電源を落とすと証拠保全が困難になり、図3の後続ステップ“原因の特定”に支障を来します。
• “ファイアウォール設定変更”と答える
  └ 設定変更は詳細対処の一部であり、即時の被害拡大防止としてはネットワークそのものを遮断する方が確実です。
• “ネットワーク遮断”ではなく別表現を記載
  └ 問題は15字以内の具体的作業名を求めており、模範解答は“ネットワークの切断”と明示されています。

FAQ

解答の論理構成

1. 【問題文】では、図3の＜セキュリティ担当者の対応＞に「(6) 対処結果の報告」が最終ステップとして示されています。
2. 報告でインシデント対応が一旦完了した後、「今後同様の事象を再発させない」ためのサイクルを回すことが情報セキュリティ管理の常道です。
3. その裏付けとして【問題文】に「被害が発生する前の兆候をつかむことが大切だ。そのためにはインシデント管理が重要だ」とあり、改善まで含めた継続的管理が求められています。
4. よって、報告後に必要なのは
     ① 実施した対応を評価（有効性・不足点の洗い出し）
     ② 手順・体制・技術的対策を見直し、次回に備える
   というPDCAの「Check」「Act」に当たる活動です。
5. 以上より「対処結果の評価を行い、インシデントの対処方法を見直す」とまとめるのが妥当です。

誤りやすいポイント

• 図3に明示されていないからといって「追加作業はない」と判断してしまう。報告後の改善活動もインシデント管理プロセスに必須です。
• “再発防止策の実施”とだけ書くと、評価フェーズが抜けるため要点を欠きます。評価→見直しの両輪を意識しましょう。
• 「教育」「訓練」など周辺活動を挙げてしまい、設問が求める直接的な改善アクションから外れるケース。

FAQ