令和5年度 春期 ネットワークスペシャリスト試験 午前II 問17
テクノロジセキュリティ技術ネットワークサイバー攻撃手法Web・その他のアプリケーションプロトコル
NTPを使った増幅型のDDoS攻撃に対して，NTPサーバが踏み台にされることを防止する対策の一つとして，適切なものはどれか。
解答・解説
正解: ア. NTPサーバの設定変更によって，NTPサーバの状態確認機能（monlist）を無効にする。
NTPを使った増幅型のDDoS攻撃（NTPリフレクション攻撃 / NTPアンプ攻撃）は、攻撃者が送信元IPアドレスを攻撃対象のIPアドレスに偽装し、踏み台となるNTPサーバにリクエストを送信することで行われます。
このときよく悪用されるのが、NTPの状態確認機能（monlistコマンド）です。このコマンドは、過去にNTPサーバと通信したホストのIPアドレスを最大600件返す仕様になっており、小さなサイズのリクエストに対して非常に大きなサイズのレスポンスを返します（増幅効果）。結果として、攻撃対象のネットワークに大量のトラフィックが送りつけられ、サービス不能状態に陥ります。
したがって、NTPサーバが踏み台にされることを防止するためには、NTPサーバの設定を変更してmonlist機能を無効にすることが適切な対策となります。
各選択肢の解説
ア：正解です。NTPサーバの状態確認機能（
monlist）を無効にすることで、増幅攻撃の踏み台にされることを防止できます。イ：自ネットワーク外のNTPサーバへの時刻問合せを禁止しても、外部の攻撃者から自組織のNTPサーバへ送られる不正なリクエストをブロックできないため、踏み台化の防止にはなりません。
ウ：ブロードキャストアドレス宛てのパケットを拒否する対策は、ICMPエコー要求を悪用するSmurf攻撃などを防ぐためのものです。NTP増幅攻撃はユニキャスト通信で行われるため、この対策では防げません。
エ：NTP増幅攻撃はNTPプロトコル（UDPのポート123番など）そのものを悪用するため、UDPサービスへのアクセスをNTPのみに制限しても攻撃を防ぐことはできません。