令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問5
テクノロジ／セキュリティ送信元 IP アドレスが A，送信元ポート番号が 80/tcp，宛先 IP アドレスが未使用の IP アドレス空間内の IP アドレスである SYN/ACK パケットを大量に観測した場合，推定できる攻撃はどれか。
出典：令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問5
- アIP アドレス A を攻撃先とするサービス妨害攻撃
- イIP アドレス A を攻撃先とするパスワードリスト攻撃
- ウIP アドレス A を攻撃元とするサービス妨害攻撃
- エIP アドレス A を攻撃元とするパスワードリスト攻撃
正解：ア
解説
SYN/ACK パケットは，TCP の SYN パケットを受け取ったサーバが応答として返すものです。攻撃者が送信元 IP アドレスを未使用の IP アドレスに偽装した大量の SYN パケットを IP アドレス A の Web サーバ（80/tcp）に送り付けると，A のサーバはそれぞれの偽装された送信元（未使用の IP アドレス空間）に SYN/ACK を返します。この「バックスキャッタ」と呼ばれる現象が，未使用の IP アドレス空間で大量に観測されたということは，IP アドレス A が大量の偽装 SYN パケットを受け続けている，すなわち IP アドレス A を攻撃先とする SYN フラッドなどのサービス妨害攻撃を受けていると推定できます。
選択肢ごとの解説
- ア正しい。未使用アドレス空間に届く SYN/ACK のバックスキャッタは，IP アドレス A が送信元偽装された大量の SYN パケットを受けて応答している証拠であり，A を攻撃先とするサービス妨害攻撃を示します。
- イ誤り。この観測結果はパスワードリスト攻撃とは無関係で，TCP のコネクション確立に関する挙動（SYN フラッドへの応答）です。
- ウ誤り。SYN/ACK を送っているのは応答している A 自身であり，A は攻撃を仕掛ける攻撃元ではなく，攻撃を受けている攻撃先です。
- エ誤り。この観測結果はパスワードリスト攻撃ではなく，A が攻撃先となっているサービス妨害攻撃の兆候です。