ネットワークスペシャリスト試験 令和5年度 春期 午前II 問17

【正解】ア

NTP増幅型DDoS攻撃では、攻撃者が送信元IPアドレスを攻撃対象のものに偽装し、NTPサーバへ小さなUDP要求を送ります。古いNTPの状態確認機能であるmonlistは、最近通信したクライアントの一覧を大きな応答として返すため、要求よりも応答のデータ量が大幅に増えます。その応答が偽装された送信元へ集中し、NTPサーバが反射・増幅の踏み台になります。monlistを無効にすれば、この機能を悪用した大容量応答を防げるので、アが正解です。

イの自ネットワーク外のNTPサーバへの問合せを禁止する対策は誤りです。これは、内部の端末が外部NTPサーバを利用する通信の制限であり、自分のNTPサーバが外部からの要求に応答して踏み台になる問題を直接防ぎません。

ウのブロードキャストアドレス宛てパケットを拒否する対策は誤りです。これは、多数の端末に一斉応答させるSmurf攻撃などへの対策です。NTP増幅攻撃では、個々のNTPサーバへ送信元を偽装した要求が送られます。

エの外部からのUDPアクセスをNTPだけ許可する対策は誤りです。UDPの123番ポートを外部へ無条件に公開すると、むしろNTPサーバが悪用される可能性を残します。

【ポイント】 UDPは接続確立の手順がなく、送信元IPアドレスを偽装した反射攻撃に悪用されやすいプロトコルです。 monlistの無効化に加え、NTPソフトウェアの更新、接続元制限、レート制限も有効です。