ネットワークスペシャリスト 2017年 午前2 問17

反射型SYNフラッドの兆候【午前2解説】

正解の理由

解法ステップ

1. まずパケットの種別を確認：SYN/ACKはTCP 3ウェイハンドシェイク中のサーバ応答（サーバ→クライアント）であると理解する。
2. 受信先が未使用アドレス（ダークネット）である点を重視する：通常、正規通信では未使用アドレスへ応答は届かない。
3. 未使用アドレスへサーバからの応答が来る原因を考える：攻撃者による送信元IP偽装（被害者IPを送信元に設定）で多数のサーバへSYNを投げ、サーバが偽装された送信元（被害者）へSYN/ACKを返す「反射型」サービス妨害が典型的。
4. 選択肢の意味と合わせる：SYN/ACKの観測は「Aが攻撃対象（被害者）である」可能性を示すため、サービス妨害攻撃（DDoS）を選ぶ。

選択肢別の誤答解説

• ア（正答）: ダークネットにSYN/ACKが来る状況は、攻撃者が被害者のIPを送信元に偽装してSYNを多数のリフレクタに送った結果、リフレクタ側から偽装された被害者へ大量のSYN/ACKが返されるという典型的な反射型DDoSの挙動と整合します。送信元ポート80はリフレクタがHTTP系サーバであることを示唆します。
• イ（誤答）: パスワードリスト攻撃（ブルートフォース）は通常、認証プロトコル（例えばSSH, FTP, HTTPログイン等）に向けてTCPの接続確立→認証試行を繰り返す攻撃です。ダークネットにSYN/ACKが来るだけでは認証試行の痕跡とは言えず、「パスワードリスト攻撃」と結び付ける根拠が弱いです。
• ウ（誤答）: 「Aを攻撃元とするサービス妨害攻撃」は、観測されるパケットがAから発信されている（Aが攻撃送信者）ケースを示します。しかしSYN/ACKはサーバ側の応答であり、攻撃送信側が大量のSYN/ACKを自発的に送る類の攻撃（＝Aが攻撃元）とは整合しません。観測はむしろAが偽装された被害者である可能性を示します。
• エ（誤答）: 「Aを攻撃元とするパスワードリスト攻撃」も同様に、SYN/ACK単体からAが認証試行の送信元であることは証明できません。さらにダークネット宛てのSYN/ACKは認証成功やパスワード試行の結果ではありません。

よくある誤解

• 誤解1: 「SYN/ACKが来ているなら送信元Aがスキャンしている／送信している」
  解説: SYN/ACKは通常サーバ側の応答です。送信元フィールドにAがある場合でも、背後では別の主体が送信元を偽装している可能性が高い点を見落とさないこと。
• 誤解2: 「ダークネットに届く全ての不要なパケットは単なる誤配達（ルーティングミス）だ」
  解説: ルーティング障害やミスも原因にはなり得ますが、同時に大量かつ同種（SYN/ACK）で継続的に観測される場合は反射型DDoSの可能性が高い。量と分布（多くの送信元IPから来るか）を評価すること。

補足コラム

• 「反射型攻撃」と「アンプ攻撃」の違い：反射型は送信元アドレスを偽装して多数のサーバから被害者へ応答を返させる手法。アンプ（増幅）攻撃は、リクエストに対するレスポンスが大きいプロトコル（DNS、NTPなど）を用い、少ない送信量で大きな応答を被害者へ送らせる点が特徴です。今回のSYN/ACKはTCPハンドシェイク応答なので典型的な増幅（サイズ増大）とは異なりますが、反射による帯域・処理負荷の増大を引き起こします。
• ダークネット観測での運用上の指針：SYN/ACKなど特定種別のパケットが短期間に急増したら、送信元IPの分布（多数のリフレクタかどうか）、送信元ポート（80に偏っているか）、TTLや応答サイズ等のメタ情報を合わせて解析すると反射攻撃の確度が上がります。

FAQ