情報処理安全確保支援士試験 令和6年度 春期 午前II 問5

【正解】ア

TCPでは、接続を開始する側がSYNを送り、受け取った側がSYN/ACKを返します。送信元がIPアドレスA、送信元ポートが80であるSYN/ACKは、Webサーバとして動作するAが、受信したSYNへの応答を送っていることを示します。その宛先が実在するホストに割り当てられていないIPアドレスであることから、攻撃者が送信元IPアドレスを未使用アドレスに詐称したSYNをAへ大量に送ったと推定できます。

このようなSYNフラッド攻撃では、Aは存在しない相手へSYN/ACKを返し、応答待ちの接続情報を多数保持します。その結果、資源が消費され、正規利用者の接続を受け付けにくくなるため、Aを攻撃先とするサービス妨害攻撃であるアが正解です。未使用アドレス側で観測される応答は、バックスキャッタとも呼ばれます。

イのパスワードリスト攻撃は誤りです。これは他のサービスから漏えいした利用者IDとパスワードの組合せを使ってログインを試す攻撃であり、TCP接続後のアプリケーション層で行われます。

ウは攻撃元と攻撃先の解釈が逆です。AのSYN/ACKはAから始めた攻撃通信ではなく、詐称されたSYNに対する応答と考えられます。

エも誤りです。パスワードリスト攻撃を行う側はログイン要求を送るので、このような送信元ポート80のSYN/ACKが大量に現れる状況とは一致しません。

【ポイント】 TCPの接続確立は「SYN→SYN/ACK→ACK」の3段階で行われます。 大量のSYN/ACKが未使用アドレスへ届く場合、送信元IPアドレスを詐称したSYNフラッドを疑います。 パケットの方向とTCPフラグから、攻撃元か応答側かを判断することが重要です。