令和6年度 秋期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問16

NTPを使った増幅型のDDoS攻撃（NTPリフレクション攻撃）は、攻撃者が送信元IPアドレスを標的のIPアドレスに偽装し、公開されているNTPサーバに対して特定のコマンドを送信することで行われます。代行されたNTPサーバが応答を標的に送信するため、NTPサーバが「踏み台」として悪用されることになります。この攻撃でよく悪用されるのが、NTPの monlist（状態確認機能） コマンドです。このコマンドを受け取ったNTPサーバは、過去に通信した最大600件のIPアドレスリストを応答として返します。このとき、リクエストのデータ量に対して応答のデータ量が非常に大きく（数十倍から数百倍）なるため、増幅効果（アンプ攻撃） が生じ、偽装された標的に大量の通信が送りつけられてしまいます。したがって、NTPサーバが踏み台にされることを防ぐための根本的な対策は、NTPサーバの設定を変更して monlist 機能を無効化する ことです。

各選択肢の解説

• ア：正解。 NTPサーバの monlist 機能を無効化することで、増幅の要因となる大量の応答データが返されるのを防ぎ、踏み台化を防止できます。
• イ：誤り。 自ネットワーク外のNTPサーバへの時刻問合せを禁止しても、外部の攻撃者から自NTPサーバへの不正なリクエスト（monlist 要求）を防ぐことはできないため、踏み台対策にはなりません。
• ウ：誤り。 ブロードキャストアドレス宛てのパケットを拒否する対策は、Smurf攻撃（ICMPエコー要求をブロードキャストして一斉に応答させる攻撃）などには有効ですが、NTPリフレクション攻撃はユニキャスト通信で行われるため効果がありません。
• エ：誤り。 自ネットワーク外からのUDPアクセスをNTPサーバのみに制限したとしても、NTPサーバ自体が monlist に応答する設定のままであれば、依然として踏み台にされてしまいます。