【１３問】攻撃手法と対策（ネットワークスペシャリスト）

このNoteには、ネスペR06～Ｈ21から攻撃手法・対策についての問題を集めました。

セキスペとシナジーがとても強く、セキスペ合格者はすぐに得点につながります。セキスペをこれから狙う方は、勉強が無駄にならない一石二鳥の学習分野。＞【セキスペ】73の攻撃手法まとめNote

ネスペでのセキュリティなので、通信プロトコルを悪用した攻撃の出題が多いですね。IP～APの勉強もまったく無駄になってないので、ぐんぐん点数を伸ばしてくださいね。

なお私のNoteは、学生時代の独学合格体験、大学・IT専門学校での授業経験に基づいています。受ける側・教える側として合格実績があるな、と少しでも信用して頂けたら嬉しいです。

それでは始めましょう！

＞TOPページ：全てのNoteへの入口＜

＼私の3ヶ月の学習記録／

ICMP Flood | Flood系を図解で

正答はイ。全てセキスペ必須の知識。セキスペ合格者の方、これからセキスペ目指すかもな方も、必ず正解しましょう。

全て ＞【セキスペ】73個の攻撃手法 で解説しています。下記では各攻撃の解説への直リンクもしておきます。

• ア：HTTP GET Flood攻撃：「GET」「繰り返し送る」から。＞解説Note

• イ：ICMP Flood攻撃（ping flood）：「ping」からICMP、「大量～発信」よりFlood。＞解説Note

• ウ：SYN Flood攻撃：「SYN」「大量に送る」より。TCPの3wayハンドシェイクの最初SYNだけ送る手法。 ＞解説Note

• エ：Connection Flood攻撃：「TCPコネクション」「大量」より。 ＞解説Note

以下の図を見て分からなければ、解説もチラ見してくださいね。

HTTP GET Flood | GETとPOST

まず、HTTPのGETメソッド。HTTP GET Flood攻撃は、GETリクエストをを大量に送り付けます。＞解説Note

なお、GETと対をなすPOSTメソッドを使った、HTTP POST Flood攻撃もあります。＞解説Note

GETとPOSTの違いは、セキュリティ・ネットワーク通信の観点から重要です。セキスペでもネスペでも必須知識。

ICMP Flood攻撃

ICMP Flood攻撃は、pingの返事を無視して、ひたすら大量の問い合わせをします。＞解説Note

なおICMPとICMPv6は、ネスペで深い問題が出ます。＞ICMPのNote

SYN Flood攻撃

SYNは、TCPの３ウェイハンドシェイクの一発目の通信ですね。＞TCPとUDPのNote

SYN Flood攻撃は、3ウェイハンドシェイクの手続きを進めず、ひたすら最初のSYNを送り続ける攻撃です。＞解説Note

TCP・UDP・IPはネットワーク通信の核。色んなプロトコルに絡みます。＞TCPとUDPの解説Note

Connection flood攻撃

コネクションとは、確立された接続のこと。通信の手を繋いでいることと思ってOK。

connection floodでは、サーバが確立できる接続数を独占します。＞解説Note

DOS攻撃 | ダークネット絡む

ダークネットが出てきましたが、ただのDoS攻撃。

DoS攻撃は大量のパケットを相手に送りつけ、相手をアップアップにする攻撃。相手がサーバだと、サービス提供に支障がでます。

正答はア。

状況としては、空き家に延々と資料を送らされている状態。何者かによって、空き家宛てに資料を送るよう大量の申し込みが行われて、企業が対応に追われています。

設問文の「SYN/ACK」はTCPの3ウェイハンドシェイクの2発目、接続要請を受けたサーバ（IPアドレスA）の返答です。この時点では、サーバ（IPアドレスA）が攻撃をしているのか/受けているのか分かりません。

「未使用のIPアドレス」「ダークネット」へ向けて「SYN/ACK」を送っているので、サーバ（IPアドレスA）は攻撃元ではないと分かります。いない相手に送り続けるなんて攻撃として無意味ですからね。

サーバ（IPアドレスA）が「SYN/ACK」をたくさん送る状況になったのは、「SYN」をたくさん受けたから。よってSYN Flood攻撃を受けていると考え至ります。

整理すると、何者かが、送信元IPアドレスをダークネット（未使用IPアドレス）に詐称されたSYNパケットを、大量にサーバ（IPアドレスA）へ送り付けています。サーバ（IPアドレスA）は返答「SYN/ACK」を未使用IPアドレス（ダークネット）に真面目に返事しています。もちろん「ACK」は返ってきません。

なお送信元IPアドレスを詐称することを「IPスプーフィング」と云います。DoS攻撃の攻撃元を知られないように、DRDoS攻撃の攻撃先とするように使う細工です。＞【Iパス】DoS攻撃のNote

ポートスキャン

一概に攻撃ってわけでもないです。泥棒が空いている窓を探すと考えると攻撃準備でもあり、私たちが空いている窓を探すのは戸締りですからね。

正答はウ。知らなくても順当に考えれば正解できます。

アとイは必ず消してください。

• イ：「SYN/ACK」が来たら「拒否された」は間違い。許可されたので「ACK」を送り返せば、TCPの3ウェイハンドシェイクは正常に行われます。

• ア：「RST/ACK」が来たら「許可された」は間違い。拒否されています。

エは英語を見て判断してください。

「Unreachable」の「reach」って届くって意味。Unが付いてるので否定形、つまり届かない。よって「ポートが開いている」が誤りで、閉じているから届かなかったということ。

ICMPのメッセージはunreachable以外も覚えてください。別の問題で出ていますから。＞ICMPのNote

IPスプーフィングの対策 | これがせいぜい

IPスプーリングは、送信元IPアドレスを詐称すること。IPスプーリング自体は攻撃と云えるかは微妙で、攻撃の工夫かなと。

攻撃元を特定され遮断されると攻撃が通らなくなります。そこで、送信元IPアドレスを詐称すれば阻害できます。また、返答を要する問合せで、送信元IPを攻撃対象にすれば、返答が攻撃対象に向かいます。DRDoS攻撃の手口。＞【Iパス】DoS攻撃のNote

正答はエ。

詐称されているかを見分けるのは大変です。私たちも手紙の送り主の住所が正しいか確認するのは大変ですよね。てか無理。

でもエを見てください。不自然です。インターネットからのアクセスの「送信元IPアドレスが自ネットワーク」内のIPアドレスですから。郵便物の送り主が、自分の会社の隣の部屋からだったら、オカシイって思いますよね。

DRDoS攻撃もDDoS攻撃も偶然なのか攻撃なのか、判断が難しいです。せいぜい「身内からの攻撃はないよね」って対策が精いっぱい。

DRDoSに悪用されるプロトコルサービス

正答はイ。

「リフレクタ攻撃に悪用される」ので、何か問合せをしたら返答するようなプロトコルかな、と当たりをつけます。

正答のイ。DNSはドメイン問合せ、NTPは時刻を問合せて。DNS ampやNTP リフレクションはDRDoS攻撃の代表格。＞【Iパス】DoS攻撃のNote

他の選択肢も考えます。

アのSPFとDKIMはメールの送信者確認。SPFは、DNSサーバにSPFレコード問合せ。DKIMは、ディジタル署名を検証するために、DNSサーバに公開鍵を問合せはします。＞【セキスペ】メール受信のNote

DNSSECは、DNSサーバへの名前解決プロトコルDNSのセキュリティ強化版。ディジタル署名で、キャッシュポイズニング対策をします。
＞【総まとめ】DNSのNote
＞【セキスペ】DNSSECのNote

全て問い合わせはするのですが、1つもリフレクション攻撃で聞いたことありません。「悪用されることの多い」から考えると、アよりはないかなぁと。

ウのFTPはファイル転送、Telnetは遠隔操作、L2TPは暗号化で、問合せ返答にあまり関係しません。
＞【Iパス】プロトコル９個のNote
＞【FE】プロトコル１０個のNote
＞【ネスペで重要】PPPのNote

エは全て暗号化プロトコル/仕様なので、問合せ返答ではないです。
＞【ネスペ】IPsecのNote
＞【ネスペ】SSL/TLSのNote

以上より、イ（DNS, Memcached, NTP）が最もらしいと判断。

関連するNoteを挙げておきます。

• SPF, DKIM ＞【セキスペ】メール受信のNote

• DNS, DNSSEC
  ＞【総まとめ】DNSの全てNote
  ＞【セキスペ】DNSSECのNote

• FTP, NTP, Telnet
  ＞【Iパス】プロトコル９個のNote
  ＞【FE】プロトコル１０個のNote

• L2TP ＞【ネスペ】PPPのNote

• IPsec ＞【ネスペ】IPsecのNote

• SSL, TLS ＞【ネスペ】SSL/TLSのNote

• Memcached：ネスペ午後問題にでたらしいので後日

NTPリフレクション攻撃の対策

正答はア。消去法でもOK。今回でmonlistは覚えてください。ネスペ必須。

アのように、「monlistを無効」にして大量の問い合わせをできなくするのは、攻撃悪用への対策になります。

他選択肢は覚える必要はなく推測できます。

イについて。正確な時刻はインターネット上のNTPサーバから入手する必要があります。外に問い合わせしたいです。

ウについて。ブロードキャストを封じても、NTPサーバ単独に問い合わせができれば、攻撃に悪用できます。

エについて。結局社外からNTPサーバにアクセスできるので、攻撃に悪用できます。

Webアプリへの攻撃 | FEレベル

Webアプリへの入力を悪用した攻撃といえば、XSS, XSRF, OSコマンドインジェクション, ディレクトリトラバーサルでしたね。Iパス・FEレベル。＞【Iパス】Web系攻撃のNote

正答はイ。System関数やexec関数は、プログラムが動いているコンピュータのOSコマンドを実行するための関数ですから。

• ア：HTTPヘッダインジェクション：＞解説Note

• イ：OSコマンドインジェクション：＞解説Note

• ウ：クロスサイトリクエストフォージェリ：＞解説Note

• エ：セッションハイジャック：＞解説Note

CDNで防げる攻撃

正答はア。

CDNはWebコンテンツをキャッシュ（一時保存）するサーバを配置する工夫。コンテンツが大容量になったので、Webサーバご本尊に負荷がかかり易くなりました。CDNにコンテンツを保存し、利用者に近いCDNから配信して軽減します。

他選択肢もIパス～レベル。

ウのパスワードリスト攻撃は、不正入手したIDとPWDのリストを流用して、他サイトで試行する攻撃。エのリバースブルートフォースは、PWDを固定して、IDにあらゆる組み合わせを試行する攻撃。Iパス・FEレベル。＞【Iパス】パスワードクラックのNote

イのMiTB攻撃は、中間者攻撃の1種。ブラウザの中に潜み、利用者の入力とサーバへの通信の間で、盗聴や改ざんをします。セキスペでIPAお気に入りの重要テーマ。＞解説Note

なんか中間にDがある用語は混乱したので、まとめておきます。

• MDM：業務で使うモバイル端末を会社が一元管理する仕組み ＞Note

• SDN：ネットワーク機器をソフトウェアで一元管理する技術 ＞【ネスペ】SDNのNote（準備中）

リバースプロキシサーバ | 多用途

FEまではプロキシサーバが出ましたが、APからリバースプロキシサーバも出てきました。＞【AP】12サーバの配置まとめNote

• プロキシ：内部者のインターネットへのアクセスを受ける。代わりにインターネットへ代理アクセスする。内部者のアクセスを一元管理できる。

• リバースプロキシ：外部者からのアクセスを受ける。適切なサーバへ代理アクセスする。

正答はイ。消去法で正答すると良いかもですね。この問題は、＞DMZを用いたセキュリティ対策 でも扱いました。

• ア：「インターネット上での盗聴を防ぐ」とサーバの配置は無関係。盗聴を防ぐなら暗号化。

• ウ：アと同じ。

• エ：アと同じく、盗聴して改ざんされ再送信する行為を防げません。改ざんを検知するためにデジタル署名などを付与するなどの対策はできます。

リバースプロキシサーバは、外部からのアクセスを一旦受けて、適切なサーバへ代理アクセスします。インターネット利用者（外部者）は、Webサーバご本尊には直接アクセスできないので、Webページの改ざんはできません。

リバースプロキシは、複数あるWebサーバへの負荷分散、複数あるサービスへの適切な振り分け、SSO（シングルサインオン）などに使われます。＞【セキスペ】SSOのNote

サイドチャネル攻撃 | FE・APレベル

完全にAPやセキスペ寄りの問題。

正答はイ。「消費電力」より測定による推定攻撃。＞【セキスペ】サイドチャネル攻撃のNote

アのキーロガーは、マルウェアの一種。キーボードの入力を不正に監視し記録します。パスワードや個人情報の窃取が目的。＞【Iパス】スパイウェアのNote

ウのスミッシングは、SMSを使った詐欺行為。フィッシングとSMS（ス）を組み合わせた造語とのこと。新しい用語なので、今後正解が問われるようだったら覚えましょう。

発音似てますが「スキミング」はよく出ていました。カードの偽装を目的に、磁気情報を読み取る行為。

エの中間者攻撃（MITM攻撃）。通信経路やブラウザ内に潜んで、利用者とサーバ間の通信を盗聴・改ざんして再送信などをする攻撃。ブラウザの場合はMITB攻撃（Man-in-the-Browser）と云います。＞中間者攻撃のNote

テンペスト攻撃 | サイドチャネル攻撃の1種

サイドチャネル攻撃の1種。完全にAPやセキスペ寄りの問題。

正答はア。

テンペスト攻撃はディスプレイなど入出力装置の本体やケーブルの電磁波を測定して情報を摂取する攻撃。サイドチャネル攻撃の1種。＞【セキスペ】サイドチャネル攻撃のNote

イは、中間者攻撃を示唆しています。盗聴されても内容を秘匿するなら暗号化、改ざんは防げませんが検知するならディジタル署名が対策です。企業ならトランザクション署名も。＞【セキスペ】トランザクション署名のNote

ウのマクロウィルスは、文書ソフトや表計算ソフトの簡単なプログラミング実行機能を悪用したマルウェア。ウの「定義ファイル」からマルウェア対策ソフト（シグネチャ型）と推測されます。＞【Iパス】マクロウィルスのNote

エは、無線の盗聴。対策も正しいです。無線LANの暗号化（WEP, WPA, WPA2）はネスペで良くでる問題。＞無線LANのNote

SSLダウングレード | セキスペなら詳しく

SSL/TLSはWeb通信で暗号化や改ざん検知をするための仕様。HTTPのセキュリティ強化版HTTPSなど、多くのプロトコルで採用されています。完全にAPやセキスペ寄りの問題。＞解説Note

正答はエ。「ダウングレード」は格やバージョンの古いものを使うような変更。文意の「弱い暗号」を使うように誘導している点から判断します。

• ア：「総当たり」攻撃ではありません。

• イ：「PCからサーバに送信するデータを操作」より中間者攻撃の一種と思われます。

• ウ：Webブラウザをダウングレードする攻撃ではありません。「PCからサーバに送信するデータを操作」より中間者攻撃の一種と思われます。

ダウングレード攻撃。ネスペなら弱い暗号を使う攻撃ね、ぐらいでOK。

もしセキスペを考えているなら、具体的な攻撃名を覚える必要があります。Logjam攻撃, バージョンロールバック攻撃。また暗号の脆弱性を突いた、POODLE攻撃, Heart Blood攻撃。＞解説Note

RLO

完全にAPやセキスペ寄りの問題。

正答はエ。RLOをファイル名の文字コードを悪用して、表示される文字の左右を逆転させる偽装工作。利用者に、ファイルをクリックさせるのを図ります。

アは、具体的名称はないですが、日常で見ます。フィッシング詐欺に近いですかね。

イは、ハニーボット。攻撃者を誘い込んで手口を観察します。

ウの「MIB」「SNMPマネージャ」からSNMP。ネスペ必須。＞【ネスペ】SNMPのNote

まとめ

お疲れ様でした！

新しい学びがどこにあったかは、人ぞれぞれと思います。気になった問題があったら関連Noteもお願いします。

CDNとMemcachedは、流行りらしいので注目しておくと良いですね。あとは、セキスペを復習するか目指すかで、＞【セキスペ】73の攻撃手法まとめNote

次は＞セキュリティ機器（ネスペ用）のNote でお会いしましょう。でわでわ。

＞TOPページ：全てのNoteへの入口＜

＼私の3ヶ月の学習記録／