令和4年度 秋期 情報処理安全確保支援士試験 午前II 問5

観測されたパケットの特徴

問題文で観測されたパケットには以下の特徴があります。

• 送信元IPアドレス：A
• 送信元ポート番号：80/tcp（Webサーバなど）
• 宛先IPアドレス：未使用のIPアドレス
• パケットの種類：SYN/ACKパケット

推定される攻撃のメカニズム

SYN/ACKパケットは、TCPの3ウェイハンドシェイクにおいて、接続要求であるSYNパケットを受け取った側が応答として返すパケットです。
IPアドレスAから、存在しないはずの「未使用のIPアドレス」に向けて大量のSYN/ACKパケットが送信されているということは、IPアドレスAに対して「送信元を未使用のIPアドレスに偽装した大量のSYNパケット」が送りつけられている状態（SYNフラッド攻撃）であると考えられます。
IPアドレスAは被害者として、偽装された送信元に対して応答（SYN/ACK）を返し続けています。
したがって、これはIPアドレスAを攻撃先とするサービス妨害攻撃（DoS攻撃）と推定できます。

各選択肢の解説

• ア（正解）：IPアドレスAは、偽装されたSYNパケットに対してSYN/ACKを返している被害者であり、サービス妨害攻撃の標的（攻撃先）となっています。
• イ：パスワードリスト攻撃は、あらかじめ入手したIDとパスワードのリストを用いて不正ログインを試みる攻撃であり、大量のSYN/ACKパケットを発生させるものではありません。
• ウ：IPアドレスAはSYN/ACKパケットを送信していますが、これは攻撃に対する応答を返しているだけであり、自らが攻撃元となって攻撃を仕掛けているわけではありません。
• エ：ウと同様にIPアドレスAは攻撃元ではありません。また、現象もパスワードリスト攻撃には該当しません。