ネットワークスペシャリスト 2014年 午後1 問03

解答の論理構成

• 【問題文】には「多数のコンピュータが標的サーバを集中攻撃する ア 型 DoS 攻撃」とあり、複数端末が協調して行う DoS は “Distributed” ＝「分散型」です。したがって[ア]は「分散」です。
• 次に「TCP のパケットを大量に送信し…SYN イ 攻撃や、…UDP パケットを使った UDP イ 攻撃」と記載されています。「SYN Flood」「UDP Flood」が典型例なので、[イ]は「フラッド」となります。
• DNS については「他の DNS サーバにも問合せを行い、最終的な結果を返信する ウ 的な問合せ」と記されています。他のサーバへ問い合わせを転送し応答を返す方式は “recursive query” であり、邦訳は「再帰問い合わせ」です。よって[ウ]は「再帰」です。
• 同じ文中で「発信元の IP アドレスを詐称して、その問合せの結果を標的サーバ宛てで送信させる DNS エ 攻撃」とあります。問合せを第三者サーバに送りつけ、その応答を跳ね返させるタイプは “reflector attack” なので[エ]は「リフレクタ」です。
• 「実際に脆弱性があるかどうか調査するための侵入検査、いわゆる オ テスト」という一文があります。侵入検査を英語で “penetration test” と呼ぶため、[オ]は「ペネトレーション」となります。

誤りやすいポイント

• [ア]で「大規模」「ボットネット」などと書いてしまうケースが多いですが、キーワードは “Distributed”＝「分散」に直結します。
• [イ]は攻撃手法の末尾語を問う設問です。「SYN Flood」を「SYN Spoof」と誤記しやすいので注意してください。
• DNS に関する[ウ]・[エ]は「再帰」「リフレクタ」のセットで覚えておくと混同しにくくなります。
• [オ]は“Penetration”が正式語。「ペネトレ―ション」など表記揺れを書かないようにしましょう。

FAQ

解答の論理構成

1. 問題文の該当箇所の確認
   セリフ中に「オープンリゾルバを用いた攻撃」に触れたあと、F 氏が
   「自らも攻撃の a とならないようにすることが重要」
   と述べています。
2. オープンリゾルバを悪用する典型的な攻撃手法
   発信元 IP アドレスを詐称し、第三者の DNS サーバに問い合わせを行わせることで標的に大量の応答パケットを送りつける「DNS エ 攻撃」（DNS アンプ攻撃／DNS リフレクション攻撃）が代表例です。
   このとき第三者の DNS サーバは攻撃者と標的の間で “中継点” として使われます。
3. “中継点” を指す情報セキュリティ用語
   不正アクセスや DoS 攻撃で第三者マシンを経由地に利用する行為は、実務でも試験対策でも「踏み台にされる」「踏み台として利用される」と表現されます。
4. 空欄 [a] に適切な語
   よって「自らも攻撃の a とならないようにする」の [a] には
   「踏み台」
   が入るのが妥当です。

誤りやすいポイント

• 「中継」「経由地」など一般語で書いてしまう
  用語として求められているのは情報セキュリティ分野で定着した「踏み台」です。
• DNS 専用語と混同する
  「リゾルバ」「キャッシュサーバ」といった機能名を空欄に当てはめる誤答が見られますが、文脈は“自組織が攻撃手段に使われる”リスクを指摘しています。
• オープンリゾルバ＝攻撃の主体と誤解
  試験では「踏み台」は攻撃の“発信源”ではなく“利用される側”を示す点に注意が必要です。

FAQ

解答の論理構成

1. 問題文は「大量のパケットを送信する攻撃として、大きなサイズの ICMP エコー応答を使ったものがある」と述べています。これは一般に “Ping of Death” と呼ばれ、規格上の最大サイズを超える ICMP エコーを複数の IP フラグメントに分割して送り付け、再組立て時にシステム資源を枯渇させる DoS 手法です。
2. ファイアウォールで対策するなら、攻撃の鍵となる「フラグメント化された エコーパケット」を通さなければ被害を防止できます。
3. したがって、図1の FW が備えるべき具体的機能は「断片化されたエコーパケットを許可しない」ことになります。

誤りやすいポイント

• ICMP を全面的にブロックする回答
  → 正常なネットワーク診断にも ICMP が必要なため過剰防衛です。
• 「パケット数のしきい値超過で遮断」などレート制限系の回答
  → 本攻撃の本質はパケットサイズと断片化にあるため的外れです。
• 「シーケンス番号をチェックする」など TCP/UDP 前提の回答
  → 問題文は ICMP を対象としており、プロトコルを取り違えています。

FAQ

解答の論理構成

1. 【問題文】では、DNS のセキュリティ対策方針として
   「①DMZ の DNS サーバは、キャッシュ機能を無効にしたセカンダリの冗長構成として…」
   と明記されています。
2. DMZ 内の DNS サーバはインターネットから直接問い合わせを受ける位置にあります。
   キャッシュ機能を有効にしたままだと、外部に公開された “オープンリゾルバ” となり得ます。
3. オープンリゾルバは、問い合わせ元を偽装した悪意ある応答を注入される危険性があります。これが典型的な “DNS キャッシュポイズニング” です。
4. したがって、①の対策を取らない場合に想定される脆弱性は
   「DNSキャッシュが改ざんされる。」となります。

誤りやすいポイント

• 「ゾーン転送が漏えいする」と勘違いしやすいですが、①の主語は “キャッシュ機能” なのでフォーカスが異なります。
• DoS／DDoS の「DNS エ 攻撃」ばかりを連想してしまい、キャッシュポイズニングのリスクを見落とすケースがあります。
• DMZ＝インターネット側だから「キャッシュはあった方が高速化になる」と性能面だけで判断してしまい、セキュリティ面の影響を軽視しがちです。

FAQ

解答の論理構成

1. ドメインの分割と役割付け
   • 問題文では「DNS サーバが管理するドメインを、DMZ（外部向けゾーン）と内部セグメント（内部向けゾーン）に分け、それぞれゾーン転送を行う。」と明記されています。
   • したがって、外部向けゾーンを保持するのは DMZ 側の DNS サーバ、内部向けゾーンを保持するのは内部セグメント側の DNS サーバです。
2. DMZ 側 DNS サーバの仕様
   • 「①DMZ の DNS サーバは、キャッシュ機能を無効にしたセカンダリの冗長構成」とあるため、DMZ には“キャッシュ無し・セカンダリ”のペアが必要です。
   • 冗長構成なので 2 台を相互にゾーン転送（太破線矢印）し、外向けの問い合わせにも応答（実線矢印）できるようにします。
3. 内部セグメント DNS サーバの仕様
   • 「内部セグメントの DNS サーバは、プライマリ、セカンダリ、キャッシュをそれぞれ別のサーバ機器で稼働させる。」
   • よって内部セグメントには DNS-P（プライマリ）1 台、DNS-S（セカンダリ）1 台、DNS-C（キャッシュ）1 台を配置します。
4. ゾーン転送の制限
   • 「内部セグメントのプライマリ DNS サーバには、DNS の問合せが来ないようにし、ゾーン転送の宛先は自庁内のセカンダリサーバに限定」とあるため、DNS-P は外部から直接問い合わせを受けず、
     ・内部セグメントの DNS-S と
     ・DMZ 側の DNS-S（外部公開用）
     へだけゾーン転送（太破線矢印）を行います。
5. キャッシュ DNS の問い合わせ経路
   • 内部端末（業務セグメントの PC）は名前解決をキャッシュ専用サーバ DNS-C に依頼します。「内部セグメントの DNS サーバから DMZ の DNS サーバへの通信は、TCP/UDP ともポート番号 53 番だけを許可する。」ため、DNS-C は
     ① 直接インターネット（ルートサーバ）へ再帰問い合わせ
     ② DMZ のセカンダリ DNS-S へ反復問い合わせ
     ③ 内部セグメントの DNS-S へ反復問い合わせ
     の3 経路で名前解決を行います。これが実線矢印で示された多方向通信です。
6. 図完成のポイントまとめ
   • DMZ：DNS-S を左右 2 台描き、相互ゾーン転送（太破線 a）。
   • 内部セグメント：DNS-P（右下）と DNS-S（業務セグメント側）を太破線 b・c で結ぶ。
   • DNS-C からの実線：PC → DNS-C、DNS-C → インターネット、DNS-C → 各 DNS-S。
   • DMZ の左側 DNS-S からインターネットへ実線、インターネットから右側 DNS-S へ実線。
   • 以上を図に反映すると、模範解答図と一致します。

誤りやすいポイント

• 「キャッシュ機能を無効」とある DMZ の DNS-S に、うっかりキャッシュ問い合わせ（PC → DNS-S）を描いてしまう。
• 内部セグメント DNS-P に PC からの実線矢印を引き、直接問い合わせさせてしまう。問題文には「DNS の問合せが来ないようにし」とあるため誤答。
• ゾーン転送方向を一方向だけ描く。設問の凡例は“両方向の太破線”で示すため、相互転送を忘れると減点。
• ルータや FW の制限を読み飛ばし、53 番以外の経路（HTTP など）を描いてしまう。

FAQ

解答の論理構成

1. 問題文は、内部マルウェアが外部へ通信するケースを懸念して「②外部からの不正アクセスだけでなく、内部から外部への通信にも十分に注意しなければならない」と明記しています。
2. “十分に注意”を実現する担当装置は本文にたびたび登場する「FW（ファイアウォール）」であり、設問でも「FW での対策」を要求しています。
3. 不正通信を“防止”するには、FW に「内部から外部へ向かう不要ポート・宛先を遮断するルール」が不可欠です。DNS の例でも「TCP/UDP ともポート番号 53 番だけを許可する」と限定しており、これは典型的なアウトバウンドフィルタリングです。
4. ただし遮断だけでは潜伏マルウェアの試行を見逃す恐れがあります。検知・分析という“発見”機能を担保するため、FW が出力する「遮断ログ」を継続的に監視・分析し、異常を早期に把握する必要があります。
5. 以上より、解答は
   　①内部から外部への通信を遮断するルール設定
   　②FW で遮断した通信ログの監視
   となります。

誤りやすいポイント

• IPS や IDS など他装置の対策を書いてしまい、FW に限定しない。
• 単に「ログを取得する」とだけ書き、“監視”や“分析”まで言及しない。
• 「通信を許可するホワイトリストを作る」と記述し、遮断というキーワードを欠落させる。
• 入口対策（外部→内部）ばかりを強調し、出口対策（内部→外部）を具体化しない。

FAQ

解答の論理構成

• 【問題文】の図3では、セキュリティ担当者の作業手順が
  “＜セキュリティ担当者の対応＞ (1) 状況把握と記録 (2) 対処方法の確認 (3) b (4) 原因の特定と対処 …”
  と示されています。
• (4) に “原因の特定と対処” が置かれているため、(3) には原因調査より先に“被害の拡大を防ぐ即時措置”が入ると読み取れます。
• さらに会話文で、F 氏は“②外部からの不正アクセスだけでなく、内部から外部への通信にも十分に注意しなければならない”と述べており、攻撃経路を遮断する重要性を強調しています。
• よって、重大インシデント発生時にまず実施すべきネットワーク作業は「通信経路の遮断」、すなわち“ネットワークの切断”となります。

誤りやすいポイント

• “機器の電源停止”と誤解する
  └ 電源を落とすと証拠保全が困難になり、図3の後続ステップ“原因の特定”に支障を来します。
• “ファイアウォール設定変更”と答える
  └ 設定変更は詳細対処の一部であり、即時の被害拡大防止としてはネットワークそのものを遮断する方が確実です。
• “ネットワーク遮断”ではなく別表現を記載
  └ 問題は15字以内の具体的作業名を求めており、模範解答は“ネットワークの切断”と明示されています。

FAQ

解答の論理構成

1. 【問題文】では、図3の＜セキュリティ担当者の対応＞に「(6) 対処結果の報告」が最終ステップとして示されています。
2. 報告でインシデント対応が一旦完了した後、「今後同様の事象を再発させない」ためのサイクルを回すことが情報セキュリティ管理の常道です。
3. その裏付けとして【問題文】に「被害が発生する前の兆候をつかむことが大切だ。そのためにはインシデント管理が重要だ」とあり、改善まで含めた継続的管理が求められています。
4. よって、報告後に必要なのは
     ① 実施した対応を評価（有効性・不足点の洗い出し）
     ② 手順・体制・技術的対策を見直し、次回に備える
   というPDCAの「Check」「Act」に当たる活動です。
5. 以上より「対処結果の評価を行い、インシデントの対処方法を見直す」とまとめるのが妥当です。

誤りやすいポイント

• 図3に明示されていないからといって「追加作業はない」と判断してしまう。報告後の改善活動もインシデント管理プロセスに必須です。
• “再発防止策の実施”とだけ書くと、評価フェーズが抜けるため要点を欠きます。評価→見直しの両輪を意識しましょう。
• 「教育」「訓練」など周辺活動を挙げてしまい、設問が求める直接的な改善アクションから外れるケース。

FAQ