情報処理安全確保支援士 2021年 春期 午前2 問01

リフレクタ攻撃の標的サービス【午前2解説】

正解の理由

解法ステップ

1. 「反射攻撃に悪用されるサービス」の特徴を確認する：UDP（コネクションレス）、小さな要求→大きな応答、ソースIPのなりすましが可能。
2. 各選択肢のプロトコル特性を照らし合わせる：TCPかUDPか、状態を持つか、応答の大きさはどうか。
3. 応答増幅を引き起こしやすい具体的なサービス（DNS、NTP、Memcachedなど）を選ぶ。
4. 一致する選択肢があればそれが正解。

選択肢別の誤答解説

• ア: DKIM, DNSSEC, SPF
  これらはメールの署名や認証（セキュリティ）機能であり、一般にリフレクタ攻撃に使われる「応答増幅」を引き起こす性質ではありません。DNSSECはDNSの応答サイズを増やす要因にはなり得ますが、選択肢全体として反射攻撃の典型例ではありません。
• イ: DNS, Memcached, NTP
  これらはUDPベース（またはUDP応答を持つ実装）で、小さな問い合わせに対して大きな応答を返すことがあり、ソースIPを偽装して反射増幅攻撃に使われやすいため正解です。
• ウ: FTP, L2TP, Telnet
  これらは主にTCPを使うか、認証やセッション管理が必要であり、コネクション確立が必要なため単純な反射・増幅には向きません（L2TPはUDPを使う場合もあるが、全体として代表的な反射対象ではない）。
• エ: IPsec, SSL, TLS
  いずれも暗号化やトンネリングなどのセキュリティプロトコルで、通常はセッション確立や鍵交換などの双方向処理が必要なため、典型的なUDP反射増幅の対象にはならない（ただし実装次第で別の脆弱性が利用され得る点には留意）。

よくある誤解

• キャッシュポイズニングと増幅（反射）は同じではない：キャッシュポイズニングはDNSキャッシュの内容を改ざんして誤った情報を配布する攻撃で、反射増幅のように大量の応答を発生させて帯域を消費する攻撃とは目的と手法が異なります。
• 全てのUDPサービスが危険という誤解：UDPだからといって必ず反射に使われるわけではありません。小さな要求に対して大きな応答を返すか、実運用で無防備な応答をするかが重要です。
• TCPは安全という誤解：TCPはコネクションが必要なため反射増幅には不利ですが、TCPを悪用した別種のDDoS（SYNフラッド等）が存在します。

補足コラム

• 増幅率（amplification factor）はサービスとクエリによって大きく異なります。NTPの古いmonlist応答や未保護のMemcachedは非常に高い増幅率を示したため悪用例が多く報告されました。DNSでもANYクエリなどにより大きな応答を返す設定があると増幅に利用され得ますが、近年はANYの無効化や応答サイズ制限、応答レート制御などで対策が進んでいます。
• 対策の要点：送信元アドレスのフィルタリング（BCP38等）、公開サービスの応答サイズ制御・レート制限、不要なUDPサービスの無効化・アクセス制限、ISPレベルでの転送制御が効果的です。

FAQ