令和5年度春期 ネットワークスペシャリスト 午前Ⅱ 問17

踏み台化防止策を攻撃の流れで考える

増幅型の攻撃には、攻撃者、踏み台となるサーバ、被害者という複数の立場が関わります。問われているのがどの立場での対策なのかを意識し、各対策がどの立場の振る舞いに作用するのかを攻撃の流れに沿って整理しましょう。

この問題で問われていること

この種の問題では、自組織のサーバが被害を受ける側なのか、攻撃に利用される側なのかという視点の違いが重要です。対策が攻撃の流れのどの段階・どの主体に対して効くのかという一つの観点に絞って確認してください。

視点

増幅型攻撃では、第三者のサーバが返す応答が攻撃に転用されます。対策には、被害者側で受け取る通信を減らす発想と、応答を返す側で考える発想があり、両者は別のものです。検討するときは両者を分けて捉え、どの主体の設定や運用に関わる話なのかを見極めると、立場の取り違えを防げます。

確認ポイント

• 攻撃の流れの中で、問題のサーバがどの役割を担っているかを整理したか
• 各対策が作用する主体（攻撃者側・中継側・被害者側）を区別して捉えたか
• その対策の目的が、踏み台化の防止なのか被害の軽減なのかを確認したか

正解

ア

解説

NTPを利用した増幅型DDoSでは、NTPサーバの特定機能が外部から悪用され、大量の応答を被害対象へ送る踏み台にされることがあります。その機能を無効化する設定が適切です。

理由

NTPのmonlist機能は、過去に通信した相手の一覧など、比較的大きな情報を応答するため、送信元を偽装した問い合わせによる増幅攻撃に悪用される可能性があります。この機能を無効にすると、NTPサーバが攻撃の踏み台にされるリスクを下げられます。

比較

対策の要点は、外部ネットワークへの時刻問い合わせを制限することや、ブロードキャスト宛て通信を一律に拒否することではありません。また、UDPサービスをNTPだけに限定しても、NTP自体の悪用機能が残れば増幅攻撃を防げません。

選択肢ア（正解）

これは正解だよ。monlistはNTPサーバの状態確認に用いられる機能ですが、外部から問い合わせると比較的大きな応答を返すことがあります。この性質が送信元アドレスを偽装した増幅型DDoSに悪用されるため、設定で無効化することは踏み台化を防ぐ適切な対策です。

選択肢イ

これは不正解だよ。自ネットワーク外のNTPサーバへ時刻を問い合わせられないようにする設定は、自組織の時刻同期先を制限する対策です。しかし、外部から自NTPサーバへ大量の応答を引き出す機能を直接無効化する内容ではなく、設問の踏み台対策として適切とはいえません。

選択肢ウ

これは不正解だよ。ブロードキャストアドレス宛てのパケットを拒否することは、ブロードキャストを利用する通信への対策にはなります。しかし、NTPの状態確認機能への個別の問い合わせを止める設定ではないため、NTPサーバが増幅応答の踏み台になる問題を直接解決できません。

選択肢エ

これは不正解だよ。自ネットワーク外からのUDPサービスをNTPだけ許可すると、UDPサービスの種類を絞ることはできます。しかし、NTPを許可している限り、その中の状態確認機能が悪用される可能性は残ります。許可対象をNTPだけにするだけでは、増幅攻撃への対策として不十分です。

学習のポイント

NTPの時刻同期機能と、状態情報を返す管理・確認機能を区別して学習する。