ネットワークスペシャリスト 2017年 午前2 問17

ダークネットで受信した送信元IPがA・送信元ポートが80/tcpのSYN/ACKを観測した場合に想定される攻撃【午前2 解説】

正解の理由

解法ステップ

1. パケット種類を確認する（ここではSYN/ACK）。TCPハンドシェイクにおける位置づけを把握する。
2. 宛先がダークネット（未使用IP）である点を理解する。応答が戻ってくること自体が異常であると判断する。
3. 送信元IPと送信元ポートの意味を整理する（送信元ポート80は応答を示唆）。
4. 応答がダークネットへ来る原因を列挙（IP偽装による反射、ボットによるスキャンや多数の接続試行の副作用など）。
5. これらの原因がサービス妨害（過剰なトラフィック生成や反射増幅）に合致するか評価する。

選択肢別の誤答解説

• ア: IPアドレスAを攻撃先とするサービス妨害攻撃 — 正解。SYN/ACKがダークネットに届く状況は反射や偽装でAが攻撃の対象になっていると解釈できる。
• イ: IPアドレスAを攻撃先とするパスワードリスト攻撃 — 誤り。パスワードリスト攻撃（ブルートフォース）は通常SSHやRDP等への接続試行を伴い、ダークネットへSYN/ACKが返る特徴的兆候ではない。
• ウ: IPアドレスAを攻撃元とするサービス妨害攻撃 — 誤り。観測されているのはダークネット宛の応答であり、送信元Aが攻撃トラフィックを発生させている（＝攻撃元）可能性もあるが、この設問文では「送信元IPがA、SYN/ACKを受信した」＝Aが攻撃の対象となって応答が発生しているという解釈が妥当で、「攻撃元」と断定するのは不適切。
• エ: IPアドレスAを攻撃元とするパスワードリスト攻撃 — 誤り。パスワードリスト攻撃は認証試行の特徴を持ち、SYN/ACKのダークネット応答という観測とは整合しない。

よくある誤解

• 誤解1: 送信元ポート80/tcpだから「Webサーバが攻撃している」と決めつける。送信元ポートは単にパケットの送信元ポートを示すだけで、攻撃の主体や目的は別に判断する必要があります。
• 誤解2: ダークネットに届く応答＝攻撃がダークネットを狙っている。実際はダークネットは観測用で、ここに届く応答は第三者の通信の副産物であり、攻撃対象は観測された送信元IPの可能性が高いです。
• 誤解3: SYN/ACKが来ているから必ずDDoSの反射攻撃とは限らないが、未使用宛先での大量応答は妨害系の兆候と考えるのが妥当です。

補足コラム

• ダークネット観測の意義：未割当IPに向かうパケットは正当な通信ではないため、スキャン、ミスルーティング、反射攻撃、IP偽装などの早期検出に有用です。
• SYN/ACKが大量に観測されるケース：反射型DDoS（例えばHTTP/HTTPSを悪用した反射）では、送信元ポートが80や443になることがあり、被害者IPが偽装されることで第三者（ダークネット含む）に応答が波及します。
• ログ分析ポイント：到達時間、頻度、送信元IPの分布、送信元ポート、TTL値の比較などから偽装やボットの特徴を分析できます。

FAQ