令和7年度秋期 情報処理安全確保支援士 午前Ⅱ 問7

身に覚えのない「お返事（SYN/ACK）」が大量に届く怪奇現象

攻撃者が送信元IPアドレスを「ターゲット（被害者）のIP」に偽装して、いろんなサーバーに接続要求（SYN）を送りつけると、それぞれのサーバーからターゲット宛てに大量の「お返事（SYN/ACK）」が返ってきてパンクしちゃうよ。

この問題で問われていること

「通信を始めたのは誰か」「返事をしているのは誰か」をパケットの向きから冷静に整理して、攻撃のトリックを見抜こう。

SYN Flood と偽装送信元

攻撃者が送信元 IP を偽装して SYN を送ると、被害サーバは偽装先へ SYN/ACK を返す。未使用 IP 宛てに SYN/ACK が大量発生するのは、その返答が空振りしている状態。

攻撃者 -> SYN(src=未使用IP群) -> A:80
A:80 -> SYN/ACK -> 未使用IP群
観測点では A から多数の SYN/ACK

確認ポイント

• SYN/ACK は通常、接続要求に対する応答パケットだと捉える。
• 送信元ポート 80 のホストは、サービス提供側として返答している可能性が高い。
• 宛先が未使用 IP なら、送信元偽装によるサービス妨害を疑う。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。SYN/ACKは、Aが『接続したいです』というSYNを受け取って返した返事なんだ。でも宛先が未使用IPなので、本当にそこから依頼が来たとは考えにくい。つまり誰かが送信元を偽ってAに大量のSYNを送り、Aを忙しくさせるサービス妨害攻撃をしている、と読めるよ。いたずら電話で店の窓口Aを鳴らし続けるイメージだね。

選択肢イ

これは不正解だよ。Aが攻撃先という方向は合っているけれど、攻撃の種類が違うよ。パスワードリスト攻撃ならログイン画面にIDとパスワードを何度も試す話になるけど、この問題はTCP接続のSYN/ACKが大量に出ている話なんだ。合鍵チャレンジではなく、受付を大量の呼び出しで詰まらせるサービス妨害攻撃だよ。

選択肢ウ

これは不正解だよ。見えているSYN/ACKはAから返ってきたものだけど、それはAが攻撃している証拠ではなく、Aが大量の偽SYNに返事をさせられている証拠なんだ。たとえるなら、Aが迷惑電話をかけているのではなく、Aの窓口が偽の問い合わせに対応させられている状態だよ。

選択肢エ

これは不正解だよ。パスワードリスト攻撃は、盗んだIDとパスワードのメモを使ってログインを試す攻撃だけど、問題ではログイン試行ではなくSYN/ACKという通信の返事が大量に届いているんだ。合鍵を試している場面ではなく、窓口に大量の呼び出しを投げて混乱させる場面だと考えよう。