令和4年度秋期 情報処理安全確保支援士 午前Ⅱ 問5

ダークネットに返ってくるSYN/ACKから攻撃元側を読む問題だよ

未使用のIPアドレス空間、つまり本来だれも使っていない場所に大量のSYN/ACKが届いているなら、「その未使用アドレスを送信元に見せかけたSYNが、どこかのサーバへ送られた」と考えよう。たとえるなら、だれかが他人の住所を勝手に差出人として書いて手紙を出したせいで、返事だけがその住所にどんどん届いている状態だよ。送信元ポートが80/tcpのSYN/ACKが大量に返ってきているなら、そのSYN/ACKを返しているWebサーバ側、つまりAが応答元であり、攻撃元側と推定できるよ。

この問題で問われていること

この問題では、ダークネットで観測された通信を見て「攻撃された先」を探すのではなく、「偽装SYNに反応して返事をしている側はどこか」を読み取り、攻撃元側を推定できるかが問われているよ。

SYN/ACK 観測の意味

未使用アドレスは正規通信をしないので、そこへ返ってくる応答パケットは偽装送信元を使った攻撃の痕跡になりやすい。

未使用アドレスへ SYN/ACK\n-> 偽装送信元を用いた攻撃\n-> A が攻撃元候補

確認ポイント

• 観測されるのは応答パケットなので、A は攻撃先より攻撃元と考える。
• パスワードリスト攻撃の痕跡ではありません。
• IP アドレス A を攻撃元とする DoS を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これが正解だよ。未使用のIPアドレス宛てにAからSYN/ACKが大量に出ているのは、誰かが送信元IPを偽ってAへ大量のSYNを送ったと考えられるんだ。たとえると、Aの窓口に偽の差出人で大量の問い合わせを投げ込み、Aに無駄な返事をさせて窓口を混雑させるようなもの。だからIPアドレスAを攻撃先とするサービス妨害攻撃だよ。

選択肢イ

これは不正解だよ。Aが攻撃先という方向は近いけど、攻撃の種類が違うんだ。パスワードリスト攻撃なら、ログイン画面でIDとパスワードを試す動きが中心になるよ。今回はAが大量のSYNに対してSYN/ACKを返しているので、ログイン突破ではなくサービス妨害攻撃を疑う場面だよ。

選択肢ウ

これは不正解だよ。AからSYN/ACKが大量に出ているので一見Aが攻撃しているように見えるけど、実際はAが大量のSYNに返事をしている状態なんだ。お店Aに大量のいたずら注文が来て、Aが存在しない住所へ確認の返事を送らされている感じだよ。攻撃元ではなく、Aが狙われていると考えよう。

選択肢エ

これは不正解だよ。パスワードリスト攻撃は、盗んだIDとパスワードの組合せを使ってログインを試す攻撃なんだ。今回見えているのはログイン失敗の記録ではなく、TCP接続の最初の返事であるSYN/ACKが大量に出ている様子だよ。合鍵を次々試す話ではなく、窓口に大量の呼び出しを送る話なので違うよ。