令和元年度秋期 ネットワークスペシャリスト 午前Ⅱ 問18

観測情報の信頼性を見極める

観測された通信や活動を手掛かりに考えるときは、記録された事実と分析上の解釈を分け、情報の偏りや欠落、観測条件の違いを意識します。複数の可能性を保ち、根拠の強さを比較しながら慎重に検討してください。

この問題で問われていること

一つの観測結果をそのまま結論とせず、記録の出所、観測時点、継続性、別の説明との整合性を確認し、どの情報が直接的な根拠で、どの部分が推測なのかを区別して、根拠の強さを段階的に見積もることに集中します。

視点

観測情報は、記録された事実と、分析者が意味づけした解釈を分けて整理します。断片的な証拠だけで判断を固定せず、根拠の確かさと解釈の幅を保つことが重要です。

確認ポイント

• 観測事実と解釈を分けて整理できているか
• 情報の出所や観測条件に偏りがないか確認したか
• 別の説明とも矛盾しないかを検討したか

正解

ア

解説

未使用IPアドレス空間で大量のSYN/ACKが観測されるのは、送信元IPを偽装したSYNがAの80/tcpへ大量に送られ、Aから偽装元へ返された応答が観測されたためと推定できる。これはSYNフラッドによるバックスキャッタです。

理由

SYNフラッドでは、攻撃者が未使用IPアドレスを送信元として詐称し、Aの80/tcpへ大量のSYNを送る。AはSYN/ACKを詐称された送信元へ返すため、その送信元がダークネット内の未使用アドレスなら、AからのSYN/ACKがバックスキャッタとして観測される。

比較

観測されたSYN/ACKの送信元IPがAであることは、Aが攻撃パケットへの応答を返したことを示します。Aが攻撃通信の送信元だったという意味ではありません。また、SYN/ACKの大量観測だけから、認証情報を試すパスワードリスト攻撃を推定することもできない。

選択肢ア（正解）

これは正解だよ。送信元IPを未使用アドレスに詐称した大量のSYNがAの80/tcpへ送られると、Aは詐称された宛先へSYN/ACKを返す。その応答がダークネットで観測されるため、Aを攻撃先とするサービス妨害攻撃と推定できる。

選択肢イ

これは不正解だよ。パスワードリスト攻撃は、入手したIDやパスワードの組合せで認証を試す攻撃である。設問で観測されているのは、Aの80/tcpから返されたSYN/ACKであり、Webサービスへの認証試行や認証情報の利用を示すものではない。

選択肢ウ

これは不正解だよ。観測されたSYN/ACKの送信元はAだが、Aは受信したSYNへの応答を返している側である。送信元IPを偽装した大量のSYNをAへ送り、応答を発生させた攻撃なので、Aを攻撃元とするとは判断できない。

選択肢エ

これは不正解だよ。パスワードリスト攻撃を示す認証試行の情報は、設問の観測内容には含まれていない。さらに、AからのSYN/ACKはAが受信したSYNへの応答であり、Aを攻撃元とする根拠にはならないため、この組合せは適切でない。

学習のポイント

バックスキャッタでは、観測された応答の送信元と攻撃通信の偽装元を区別する。