ネットワークスペシャリスト 2021年 午前2 問17

リフレクタ攻撃の標的サービス【午前2解説】

正解の理由

解法ステップ

1. 「リフレクタ」や「増幅」を鍵語に、ステートレスで応答を返すプロトコル（特にUDP）を探す。
2. 各プロトコルの特性（認証の有無、接続維持の必要性、問い合わせと応答のサイズ差）を確認する。
3. 実務・事例で悪用報告があるサービスを優先する（DNS、NTP、Memcachedなど）。
4. TCPベースで接続確立や認証を必要とするプロトコルは反射攻撃に不向きと判断する。

選択肢別の誤答解説

• ア: DKIM、DNSSEC、SPF
  • これらは電子メールの認証技術やDNSの拡張で、反射攻撃の「サービス群」ではありません。特にDNSSECはDNSの応答を署名して正当性を示す仕組みであり、増幅の原理そのものとは別次元です（悪用の主要対象ではない）。
• イ: DNS、Memcached、NTP
  • 正解。DNS（UDP 53）は小さな問い合わせで大きな応答を返せる（ANY等の応答で増幅）。NTP（UDP 123）はかつて monlist で大きな応答を返して増幅に使われた。Memcached（通常 UDP/TCP 11211を利用）は特にUDPで大きなキャッシュ値を返すと極めて高い増幅率を示し、大規模DDoSに利用される事例がある。
• ウ: FTP、L2TP、Telnet
  • FTP/TelnetはTCPベースで、接続確立（3ウェイハンドシェイク）や状態管理が必要なため反射には不向きです。L2TPは UDP（ポート1701）を使用することが多い点に注意が必要ですが、L2TPはVPNトンネル確立等のため通常は応答が増幅される形式ではなく、一般にリフレクタ攻撃の代表例には挙がりません（応答サイズ・動作の観点で攻撃者にとって魅力的ではない）。
• エ: IPsec、SSL、TLS
  • これらは暗号化・認証を伴うプロトコルで、セッション確立や鍵交換が必要なため第三者を単純に反射器として使うのは難しい。DTLSのようにUDP上のTLS派生は存在するものの、一般にリフレクタ攻撃の主対象とはされません。

よくある誤解

• 「TCPは絶対に使われない」
  • 正確には、反射・増幅攻撃ではUDPが多用されるが、TCPでも詐称など別手法の攻撃はある。反射の主要手法としてはUDPが中心である点を押さえること。
• 「DNSSECが導入されればDNS増幅は解消される」
  • DNSSECは応答の正当性を検証するが、応答サイズを増やすために増幅に寄与する場合もある。DNS増幅対策は応答の制限やフィルタリング、問い合わせ制御が重要。
• 「L2TPはTCPだから安全」
  • L2TPは通常UDPを使う（ポート1701）。プロトコルの伝聞だけで判断せず、ポートや動作を確認すること。

補足コラム

• 増幅率（amplification factor）の計算式は単純です。応答サイズを問い合わせサイズで割ります： $\text{増幅率}=\frac{\text{応答バイト数}}{\text{問い合わせバイト数}}$
  例えば問い合わせが60バイトで応答が4,000バイトなら増幅率は約 $\frac{4000}{60}\approx 66.7$ です。Memcachedの誤設定では最大で数千〜数万倍の増幅が報告されたこともあり、非常に危険です。
• 実運用での対策例
  • アンスポーフィング（アウトゴーイングのIP偽装防止、BCP38）を実装する。
  • UDPサービスで不要な機能（例：NTPのmonlist、MemcachedのUDPサポート）を無効化する。
  • 公開サービスは最小応答に制限し、レート制限や応答サイズ制御を行う。
  • DNSは応答におけるANYクエリの制限やResponse Rate Limiting (RRL) を導入する。

FAQ