平成29年度秋期 ネットワークスペシャリスト 午前Ⅱ 問17

観測事実と解釈を分けて見る視点

ダークネット上の通信を考えるときは、観測された情報そのものと、そこから導く意味づけを分けて整理することが重要です。複数の観点を照合し、断定の根拠が十分か確認しましょう。

この問題で問われていること

通信の特徴を判断する際、目立つ印象だけで結論を出さず、観測対象・時間的な現れ方・周辺情報の関係を整理し、どの事実が判断を支えているかに注目してください。

視点

観測された事実、そこから考えられる解釈、まだ確かめられていない推測を分けて整理します。判断材料同士の整合性と、断定に必要な根拠の有無を確認しましょう。

確認ポイント

• 直接観測できる情報と推測を区別できているか
• 複数の観点を同じ基準で比較しているか
• 結論を支える根拠が十分か慎重に確認したか

正解

ア

解説

ダークネットは通常利用されていないIPアドレス空間なので、そこへ届くSYN/ACKは、送信元IPアドレスを偽装したSYNに対する応答と考えられる。Aは偽装SYNを大量に送り付けられ、SYN/ACKを返すことで多数の半開接続などを保持し、接続待ち資源を消費させられる攻撃先です。

理由

ダークネットに到達したSYN/ACKの送信元がAであることは、Aがダークネット宛ての接続開始要求に応答したことを示します。送信元をダークネットのIPアドレスに偽装した多数のSYNをAが受信すると、AはSYN/ACKを返し、多数の半開接続などによって接続待ち資源を消費させられる。このため、Aは攻撃先となる。

比較

パスワードリスト攻撃は、入手したIDとパスワードの組合せを用いてログインを試す攻撃であり、今回のTCP接続開始要求への応答を観測した状況とは一致しない。また、AはSYN/ACKを送信している側であっても、偽装されたSYNを大量に受信して資源を消費させられる側なので、攻撃元とはいえない。

選択肢ア（正解）

これは正解だよ。送信元IPアドレスをダークネットのアドレスに偽装した多数のSYNをAが受信すると、AはSYN/ACKを返し、多数の半開接続などを保持して接続待ち資源を消費させられる。このようにAを負荷の発生する攻撃先とするサービス妨害攻撃が想定できる。

選択肢イ

これは不正解だよ。パスワードリスト攻撃は、漏えいなどで得たIDとパスワードの組合せを使い、複数のサービスへのログインを試す攻撃である。設問で観測されているのは、Aを送信元とするTCPのSYN/ACKであり、認証情報を試行したことを示す通信ではない。

選択肢ウ

これは不正解だよ。AからダークネットへSYN/ACKが届いているため、Aが応答を返していることは分かる。しかし、Aは送信元を偽装した多数のSYNを受信し、半開接続などによって資源を消費させられる側である。したがって、Aを攻撃元とする説明は適切でない。

選択肢エ

これは不正解だよ。この選択肢は、Aを攻撃元とする点と、攻撃の種類をパスワードリスト攻撃とする点の両方が設問の状況と合わない。観測されたSYN/ACKはTCP接続への応答であり、IDとパスワードの組合せを試す認証攻撃を示すものではない。

学習のポイント

TCPのSYN/ACKから、送信元偽装によるサービス妨害の向きを判断する。