情報処理安全確保支援士 2024年 春期 午前2 問05

SYN/ACK反射攻撃【午前2解説】

正解の理由

解法ステップ

1. パケット種別を確認：SYN/ACKは「サーバがクライアントのSYNに応答するパケット」。
2. IP/ポートの意味を整理：
   • 送信元IP=A、送信元ポート=80 → Aがサーバである可能性（HTTP等のサービスが応答している）。
   • 宛先が未使用IP → 本来の送信元がその未使用IPとして偽装されている。
3. 偽装の結果を推定：攻撃者がAへSYNを送り、そのSYNの送信元を未使用IPに偽装 → Aが未使用IPへSYN/ACKを大量送信する（観測される）。
4. 結論：Aがサービス妨害（SYNフラッドなど）の被害者であると推定できる。

選択肢別の誤答解説

• ア（正解）: アは上記の通り、Aが大量のSYNに応答している＝被害者であり、サービス妨害攻撃である。
• イ: パスワードリスト攻撃（認証試行）は通常TCPで確立されたセッションやアプリ層のログイン試行を伴い、単に大量のSYN/ACKが未使用IPへ向かうという観測からは判断できない。ポート80のSYN/ACKだけで認証攻撃とは言えない。
• ウ: 「Aを攻撃元とするサービス妨害攻撃」は、観測上Aが攻撃を発信している（能動的に他を攻撃）と解釈するものだが、今回のSYN/ACKはAが応答している証拠であり、Aが被害者である方が自然。したがって誤り。
• エ: 「Aを攻撃元とするパスワードリスト攻撃」も同様に、今回の低レベルTCPフラグと宛先未使用IPからは支持されない。

よくある誤解

• 「送信元IPがAだからAが攻撃者だ」
  → TCPのSYN/ACKは応答パケットであることを忘れがち。送信元IPだけで役割（攻撃者/被害者）を即断してはいけません。
• 「宛先が未使用だからパケットは無意味」
  → 宛先が未使用で届くという事実自体が「送信元が偽装されている」証拠になり得ます。ダークネット（未割当アドレス）への観測はバッククラッター解析の基本手法です。
• SYNとSYN/ACKを混同する
  → SYNは接続開始要求（クライアント→サーバ）、SYN/ACKはその応答（サーバ→クライアント）です。役割判定に重要。

補足コラム

• ダークネット／ダークアドレス観測（未割当アドレスに届くトラフィックの観察）は、IP偽装を用いたDDoS（特にSYNフラッド）の「バッククラッター（backscatter）」解析に利用されます。攻撃者が被害者の応答先を偽装すると、その応答の一部が未使用アドレスに届き、攻撃の存在や被害者を推定できます。
• ポート80が送信元になっている点は、Webサーバ等のサービスが攻撃トラフィックに応答していることを示唆します。SYNフラッドではサーバのTCPスタック資源（半開接続テーブル等）が枯渇しやすく、サービス妨害に繋がります。
• 対策例：SYN cookies、接続レート制御、ファイアウォールでの異常トラフィック検出、ISPレベルでのIngressフィルタリング（送信元IP偽装の排除）など。

# Aを実際のIPアドレスに置換して使用
tcpdump -n 'src host A and tcp[13] == 0x12'

FAQ