平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問17
テクノロジ／セキュリティ未使用の IP アドレス空間であるダークネットに到達する通信の観測において，送信元 IP アドレスが A，送信元ポート番号が 80/tcp の SYN/ACK パケットを受信した場合に想定できる攻撃はどれか。
出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問17
- アIP アドレス A を攻撃先とするサービス妨害攻撃
- イIP アドレス A を攻撃先とするパスワードリスト攻撃
- ウIP アドレス A を攻撃元とするサービス妨害攻撃
- エIP アドレス A を攻撃元とするパスワードリスト攻撃
正解：ア
解説
ダークネットは未使用の IP アドレス空間であるため，本来ここに正当な通信が届くことはありません。送信元 IP アドレス A のポート 80 から，要求していない SYN/ACK パケットが届くのは，攻撃者が送信元アドレスをダークネットのアドレスに詐称した SYN パケットを A へ大量に送りつけ，A がその応答（SYN/ACK）を詐称元であるダークネットへ返している状況（バックスキャッタ）を示します。これは，A を標的とした SYN フラッドなどのサービス妨害攻撃が行われていることを示唆します。
選択肢ごとの解説
- ア正しい。送信元を詐称した SYN パケットが A に送られ，その応答がダークネットに届いていると考えられ，A を攻撃先とするサービス妨害攻撃（SYN フラッドなど）が推測できます。
- イ誤り。パスワードリスト攻撃は認証情報を用いたログイン試行であり，SYN/ACK パケットの観測からは推測できません。
- ウ誤り。SYN/ACK パケットは A が応答として送信したものであり，A が攻撃元であることを示す根拠にはなりません。
- エ誤り。同様にパスワードリスト攻撃は認証試行に関する攻撃であり，本状況とは無関係です。