平成30年度秋期 情報処理安全確保支援士 午前Ⅱ 問7

DNSリフレクタ攻撃は“なりすまし返信”で相手を押しつぶす攻撃だよ

DNSリフレクタ攻撃は、UDPが「相手と接続を確認せずに送れる」仕組みと、送信元IPアドレスを偽りやすい性質を悪用するDDoS攻撃だよ。攻撃者は、差出人を被害者に見せかけてDNSサーバへ問い合わせを送り、DNSサーバからの大量の返事を被害者に集中させるんだ。たとえるなら、他人の住所を勝手に差出人にして大量の資料請求をして、その人の家に郵便物を山ほど届かせるようなイメージだよ。

この問題で問われていること

この問題では、UDPを悪用して第三者のサーバから被害者へ応答を反射させる攻撃を見抜けるかがポイントだよ。Webアプリの弱点を突く攻撃や、パスワードを破ってログインする攻撃とは別物なので、「DNS」「UDP」「送信元IPアドレスの詐称」「大量応答」という手がかりに注目しよう。

DNS リフレクタ

攻撃者は送信元を被害者 IP に偽装して DNS 問合せを送り、応答を被害者へ集中させる。

UDP\n送信元詐称\n-> 反射増幅攻撃

確認ポイント

• SQL インジェクションは Web アプリケーション攻撃です。
• パスワードリスト攻撃は認証突破狙いです。
• DNS リフレクタ攻撃を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

DNSリフレクタ攻撃が正解だよ。攻撃者が送信元を被害者に偽ってDNSサーバへ問い合わせると、DNSサーバの返事が被害者に大量に届くんだ。たとえるなら、他人の住所で大量の資料請求をして、その人の家に郵便物を集中させる感じだね。DNSはUDPを使うことが多く、送信元の確認が弱いので、この“反射”を使ったDDoS攻撃に当たるよ。

選択肢イ

SQLインジェクション攻撃は不正解だよ。これは、窓口の申込用紙に普通の名前ではなく、係員をだます指示を書き込むように、入力欄へ不正なSQL文を入れてデータベースを操作させる攻撃なんだ。データの盗み見や改ざんが目的で、UDPの反射を使って通信をあふれさせる攻撃ではないよ。

選択肢ウ

ディレクトリトラバーサル攻撃は不正解だよ。これは、建物の受付で本来行けない倉庫への道順をこっそり指定するように、Webサーバ内の非公開ファイルを不正に見ようとする攻撃なんだ。ファイルへの不正アクセスが中心で、UDPを悪用したDDoSとは別物だよ。

選択肢エ

パスワードリスト攻撃は不正解だよ。これは、どこかで漏れたIDとパスワードの組を使って、別のサービスの鍵穴にも同じ合鍵が刺さらないか試す攻撃なんだ。ログイン突破が目的で、UDPの性質を使って大量通信を反射させるDDoS攻撃ではないよ。