令和6年度 春期 情報処理安全確保支援士試験 午前II 問5
この問題は2024(R6)春 情報処理安全確保支援士 午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
送信元 IP アドレスが A，送信元ポート番号が 80/tcp，宛先 IP アドレスがホストに割り振られていない未使用の IP アドレスである SYN/ACK パケットを大量に観測した場合，推定できる攻撃はどれか。
解答・解説を読む
正解: 選択肢ア
TCPのコネクション確立手順である 3ウェイハンドシェイク において、SYN/ACKパケット はSYNパケットを受信した側が応答として送信するパケットです。
観測された状況を整理すると以下のようになります。
- 送信元IPアドレス：A（ポート番号80/tcp）
- 宛先IPアドレス：ホストに割り振られていない未使用のIPアドレス
- パケットの種類：SYN/ACKパケット（大量）
この状況は、攻撃者が送信元IPアドレスを「未使用のIPアドレス」に 偽装（スプーフィング） して、IPアドレス A の80番ポート（Webサーバなど）宛てに大量のSYNパケットを送りつける SYNフラッド攻撃（サービス妨害攻撃の一種） を行っていることを示しています。
攻撃を受けた A は、偽装された送信元（未使用のIPアドレス）に対して応答である SYN/ACKパケット を返しますが、宛先が存在しないため応答（ACK）が返ってこず、未完了の接続（ハーフオープン状態）が大量に保持され、リソースが枯渇してしまいます。
今回観測された大量の SYN/ACKパケットは、攻撃を受けた A が返信した応答パケット（バックスキャッタ）です。したがって、IPアドレス A は攻撃元ではなく 攻撃先（被害者） となります。
各選択肢の解説
- ア（正解）：IPアドレス A を攻撃先とする サービス妨害攻撃（DoS攻撃） と推定できます。
- イ：パスワードリスト攻撃は、あらかじめ入手したIDとパスワードのリストを用いて不正ログインを試みる攻撃であり、SYN/ACKパケットの大量送信とは無関係です。
- ウ：観測された SYN/ACKパケットは、AがSYNパケットに対する応答として送信したものです。A自身が能動的に攻撃を行っているわけではないため、攻撃元ではありません。
- エ：ウと同様に、Aは攻撃元ではありません。また、パスワードリスト攻撃の挙動とも一致しません。