令和6年度 春期 情報処理安全確保支援士試験 午前II 問5
テクノロジセキュリティ技術ネットワークサイバー攻撃手法TCP・UDP・IP層の制御
送信元 IP アドレスが A，送信元ポート番号が 80/tcp，宛先 IP アドレスがホストに割り振られていない未使用の IP アドレスである SYN/ACK パケットを大量に観測した場合，推定できる攻撃はどれか。
解答・解説
正解: ア. IP アドレス A を攻撃先とするサービス妨害攻撃
TCPのコネクション確立手順である 3ウェイハンドシェイク において、SYN/ACKパケット はSYNパケットを受信した側が応答として送信するパケットです。
観測された状況を整理すると以下のようになります。
- 送信元IPアドレス：A（ポート番号80/tcp）
- 宛先IPアドレス：ホストに割り振られていない未使用のIPアドレス
- パケットの種類：SYN/ACKパケット（大量）
この状況は、攻撃者が送信元IPアドレスを「未使用のIPアドレス」に 偽装（スプーフィング） して、IPアドレス A の80番ポート（Webサーバなど）宛てに大量のSYNパケットを送りつける SYNフラッド攻撃（サービス妨害攻撃の一種） を行っていることを示しています。
攻撃を受けた A は、偽装された送信元（未使用のIPアドレス）に対して応答である SYN/ACKパケット を返しますが、宛先が存在しないため応答（ACK）が返ってこず、未完了の接続（ハーフオープン状態）が大量に保持され、リソースが枯渇してしまいます。
今回観測された大量の SYN/ACKパケットは、攻撃を受けた A が返信した応答パケット（バックスキャッタ）です。したがって、IPアドレス A は攻撃元ではなく 攻撃先（被害者） となります。
各選択肢の解説
- ア（正解）：IPアドレス A を攻撃先とする サービス妨害攻撃（DoS攻撃） と推定できます。
- イ：パスワードリスト攻撃は、あらかじめ入手したIDとパスワードのリストを用いて不正ログインを試みる攻撃であり、SYN/ACKパケットの大量送信とは無関係です。
- ウ：観測された SYN/ACKパケットは、AがSYNパケットに対する応答として送信したものです。A自身が能動的に攻撃を行っているわけではないため、攻撃元ではありません。
- エ：ウと同様に、Aは攻撃元ではありません。また、パスワードリスト攻撃の挙動とも一致しません。