令和6年度春期 情報処理安全確保支援士 午前Ⅱ 問5

午前II 問05：ダークネットに届くSYN/ACKから攻撃先を見抜こう

ダークネットに大量のSYN/ACKが届いているときは、「誰かが送信元IPを偽ってSYN Flood攻撃をしている」可能性が高いよ。たとえるなら、攻撃者が他人の住所を書いて大量の返信用はがきを送るようなもの。すると、返信は本当の差出人ではなく、偽って書かれた住所に返っていくよね。この問題では、その偽られた送信元IPがAなので、SYN/ACK応答が返ってきているIP Aは攻撃先だと推定できるんだ。

この問題で問われていること

ダークネットで観測された通信から、「誰が攻撃しているか」ではなく「どのIPが攻撃先として使われているか」を読み取るのがポイントだよ。

ダークネット観測

攻撃者が送信元を A に偽装して SYN を送ると、応答の SYN/ACK は A へ返る。

偽装送信元=A\n-> 標的から SYN/ACK\n-> 未使用IPへ観測

確認ポイント

• A が攻撃元と断定する話ではありません。
• パスワードリスト攻撃の痕跡ではありません。
• A を攻撃先とする DoS 攻撃を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これが正解だよ。SYN/ACKは「接続していいよ」という返事で、Aがそれを大量に返しているということは、Aに大量の接続要求が来ていると考えられるよ。しかも返事先が未使用IPなので、差出人を偽った手紙を大量にAへ送りつけて、Aの受付を混乱させるようなものなんだ。だからIPアドレスAを攻撃先とするサービス妨害攻撃と判断できるよ。

選択肢イ

これは不正解だよ。IPアドレスAが攻撃先という方向は合っているけど、攻撃の種類が違うよ。パスワードリスト攻撃は、盗んだID・パスワードの組を使ってログインを試す「合鍵で玄関を開けようとする」攻撃だよ。今回の手掛かりはログイン試行ではなくSYN/ACKという通信制御のパケットなので、サービス妨害攻撃の話だよ。

選択肢ウ

これは不正解だよ。IPアドレスAからSYN/ACKが出ているように見えるけど、Aが攻撃しているとは限らないんだ。たとえると、Aのお店に偽の差出人で大量の問い合わせが届き、Aが存在しない住所へ返事を出している状態だよ。つまりAは攻撃元ではなく、攻撃を受けている側と考えるのが自然だよ。

選択肢エ

これは不正解だよ。観測されたのはSYN/ACKという「接続要求に対する返事」が大量に、しかも未使用IP宛てに返ってきている状況だよ。これはログイン画面にID・パスワードを試す「合鍵チャレンジ」の話ではなく、通信の入口を大量にたたくサービス妨害攻撃の手掛かりなんだ。だからパスワードリスト攻撃ではないよ。