平成26年度秋期 ネットワークスペシャリスト 午後Ⅰ 問3

検討する対象と範囲をそろえる

ネットワークに関する事項を検討するときは、まず何を対象にしているのか、その範囲を整理しましょう。記載された条件を手掛かりに、検討の途中で対象の範囲が変わっていないかを確かめることが大切です。

この問題で問われていること

着目するのは、検討の対象となる範囲です。与えられた条件のうち、その範囲を定める記述を確認し、自分が考えている範囲とそろっているかを見直しましょう。明示されていない範囲まで広げて考えていないかも確認します。

視点

対象の範囲を整理すると、条件がどこまで当てはまるかを考えやすくなります。検討中も同じ範囲を保ち、記載のない部分を自分の想定で補っていないかを見直しましょう。

確認ポイント

• 検討する対象の範囲を整理したか
• 記載された条件と対象の範囲がそろっているか
• 検討の途中で対象の範囲を広げていないか

解説

X銀行のIBシステムについて、DoS攻撃の特徴、DNSキャッシュの保護とサーバの役割分担、FWによる通信遮断と監視、重大インシデント発生時の切断及び対応後の改善を考える問題です。

問題の全体像

X銀行は独自のIBシステムを運用し、DMZにWebサーバとDNSサーバ、内部セグメントにDNSサーバとデータベースサーバを配置しています。サイバー攻撃が増加する中で、DNSの構成やFWの設定を整え、重大なインシデントには定めた手順で対応する事例です。出題趣旨では、DNSのセキュリティ対策とインシデント管理の基本的な知識・理解力を問うとしています。用語を答えるだけでなく、本文の構成条件を図に反映し、被害拡大の防止から対応後の改善まで説明することが求められます。

設問1(ア)

「多数のコンピュータが標的サーバを集中的に攻撃する」という説明に着目します。攻撃元が多数に分かれていることから、公式解答例では「分散」です。空欄に入れると「分散型DoS攻撃」となり、DDoS攻撃を指します。標的への攻撃は集中していますが、分散しているのは攻撃元です。

設問1(イ)

TCPのパケットを大量に送って接続を妨害する説明と、UDPパケットを大量に使う説明に共通する語を考えます。公式解答例では「フラッド」です。SYNフラッド攻撃では接続確立途中の応答待ちを大量に生じさせ、UDPフラッド攻撃では大量のUDPパケットによって通信や処理の資源を消費させます。

設問1(ウ)

「問合せを受けたDNSサーバが、他のDNSサーバにも問合せを行い、最終的な結果を返信する」という説明が根拠です。公式解答例では「再帰」であり、本文では「再帰的な問合せ」となります。問合せを受けたサーバが、依頼元に代わって最終的な名前解決の結果を求める点を押さえます。

設問1(エ)

発信元IPアドレスを詐称し、DNSサーバからの応答を標的サーバへ送らせる説明に着目します。公式解答例では「リフレクタ」です。DNSサーバが応答の送信先として扱うのは詐称された発信元なので、攻撃者の問合せに対する応答が標的へ向かいます。この応答を利用する仕組みが、本文のDNSリフレクタ攻撃です。

設問1(オ)

「実際に脆弱性があるかどうか調査するための侵入検査」という説明が根拠です。公式解答例では「ペネトレーション」であり、「ペネトレーションテスト」となります。侵入を試みる検査を通じて、実装されたセキュリティ対策の状況を評価するものとして理解します。

設問2(1)

問題冊子の画像では、オープンリゾルバを用いた攻撃について「自らも攻撃の【a】とならないようにする」とあります。公式解答例では「踏み台」です。外部からの問合せに無制限に応じると、詐称されたIPアドレスへ応答を送信し、第三者への攻撃に利用されるおそれがあります。自組織を守るだけでなく、攻撃に加担するサーバを作らないという視点です。

設問2(2)

設問の「大きなサイズのICMPエコー応答」と、FWがもつべき具体的な機能に着目します。大きなIPパケットは断片化されるため、公式解答例では「断片化されたエコーパケットを許可しない機能」としています。30字以内の答案では、この表現のように、対象を「断片化されたエコーパケット」、動作を「許可しない」と明確にします。「攻撃を防ぐ機能」だけでは、何を遮断するのかが示されません。

設問3(1)

下線①のうち「キャッシュ機能を無効にした」という条件に着目します。キャッシュを保持していれば、その内容が改ざんされる危険があるため、公式解答例では「DNSキャッシュが改ざんされる。」です。20字以内では、改ざんされる対象がDNSキャッシュであることを端的に示します。直前の踏み台の話題だけから答えず、この設問が指定した対策と脆弱性を対応させることが大切です。

設問3(2)

公式解答例の図では、DMZ左側の空欄は「DNS-S」、PCから問合せを受ける内部セグメント左側の空欄は「DNS-C」、内部セグメント下側の空欄は「DNS-S」です。DMZはセカンダリの冗長構成、内部ではプライマリ・セカンダリ・キャッシュを別機器で稼働させるという条件から決まります。実線の問合せは、PC→DNS-C、DNS-C→インターネット・DMZのDNS-S二台・内部のDNS-S、インターネット→DMZのDNS-S二台となります。破線のゾーン転送は、内部のDNS-PからDMZのDNS-S二台及び内部のDNS-Sへ向けます。図にある内部DNS-Sへの破線に加え、DMZの二台への破線矢印を追加します。外部向けと内部向けでは転送するゾーンが異なり、DNS-Pへ問合せを向ける矢印は描きません。採点講評では、経験や一般知識だけで解答せず、本文の条件に従って配置と通信を図示すること、問合せとゾーン転送の仕組みを理解することを求めています。

設問3(3)

下線②は、内部から外部への不正な通信にも注意するという指摘です。「防止」と「発見」を分けて考えると、公式解答例の二つの対策につながります。一つは内部から外部への通信に遮断ルールを設定すること、もう一つはFWで遮断した通信の結果ログを監視することです。それぞれ30字以内では「内部から外部への通信に対する遮断ルールを設定する。」「FWで遮断した通信の結果ログを監視する。」と表せます。設定によって通信を止め、ログの監視によって不審な通信の試みを把握するという役割の違いを押さえます。

設問4(1)

図3では、空欄bが「対処方法の確認」の後、「原因の特定と対処」の前にあります。重大なインシデントが発生しているため、原因調査に先立って攻撃や被害の拡大を抑えるネットワーク上の作業が必要です。公式解答例では「ネットワークの切断」です。この表現で15字以内に収まり、対応手順のこの段階で行う作業を具体的に示せます。

設問4(2)

設問は復旧や報告の後に、将来のインシデントへの対応として行う事項を問うています。公式解答例では、対処結果を評価し、インシデントの対処方法を見直すことを挙げています。30字以内では「対処結果を評価し、インシデントの対処方法を見直す。」と表せます。「評価」と「見直し」の両方を含め、今回の対応から得た知見を次回の手順改善につなげます。採点講評でも、PDCAサイクルに従った改善手法を実務に応用できることを重視しています。

学習のポイント

DNS問合せとゾーン転送の違いを理解し、本文の条件から構成を導く力と、インシデント対応を評価・改善する視点を身に付けましょう。