令和元年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問18

解説

ダークネットは未使用の IP アドレス空間であり，実際にはホストが存在しないので，そこから SYN パケットなどが送信されることはありません。それにもかかわらず，送信元 IP アドレスが A（Web サーバの 80/tcp）の SYN/ACK パケットがダークネット宛てに大量に届くのは，攻撃者が送信元 IP アドレスをダークネットの各アドレスに詐称して A（Web サーバ）へ大量の SYN パケットを送り付け，A がその応答として SYN/ACK を（詐称された）送信元アドレス，すなわちダークネットへ返しているためと考えられます。つまり，A は送信元 IP アドレス詐称による SYN フラッド攻撃の標的（攻撃先）にされていると推定できます。

選択肢ごとの解説

• ア正しい。送信元アドレスを詐称した大量の SYN パケットが A に送り付けられ，その応答の SYN/ACK が詐称された送信元（ダークネット）に届いていることから，A を攻撃先とするサービス妨害攻撃（SYN フラッド攻撃）が推定できます。
• イ誤り。パスワードリスト攻撃は認証情報を用いたログイン試行による攻撃であり，SYN/ACK パケットの観測とは関連しません。
• ウ誤り。もし A 自身が攻撃元（送信元）であれば，A からダークネットへ SYN パケットが送られるはずですが，観測されているのは A からの SYN/ACK（応答）であり，A が先にリクエストを送った攻撃元とは考えにくいパターンです。
• エ誤り。パスワードリスト攻撃は SYN/ACK パケットのような TCP コネクション確立時の応答とは無関係です。