令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問5
テクノロジ／セキュリティ送信元 IP アドレスが A，送信元ポート番号が 80/tcp，宛先 IP アドレスがホストに割り振られていない未使用の IP アドレスである SYN/ACK パケットを大量に観測した場合，推定できる攻撃はどれか。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問5
- アIP アドレス A を攻撃先とするサービス妨害攻撃
- イIP アドレス A を攻撃先とするパスワードリスト攻撃
- ウIP アドレス A を攻撃元とするサービス妨害攻撃
- エIP アドレス A を攻撃元とするパスワードリスト攻撃
正解：ア
解説
TCP の 3 ウェイハンドシェイクでは，SYN パケットを受け取ったサーバは応答として SYN/ACK パケットを送信元に返送します。攻撃者が送信元 IP アドレスを標的（A）に偽装した SYN パケットを Web サーバ（80/tcp）へ大量に送り付けると，Web サーバはその偽装された送信元（A）に向けて SYN/ACK パケットを返送します。設問では，宛先が未使用の IP アドレスである SYN/ACK パケット（送信元 IP は A，送信元ポートは 80/tcp）を観測しており，これは A が送信元 IP アドレスを偽装された SYN パケットを受け取り，その応答を送っていることを示します。すなわち，A に大量の偽装 SYN パケットを送り付けてリソースを消費させる，A を攻撃先とするサービス妨害（DoS）攻撃が行われていると推定できます。
選択肢ごとの解説
- ア正しい。IP アドレス A（Web サーバ）が，送信元を偽装された SYN パケットを大量に受け取り，その応答である SYN/ACK パケットを送出していると考えられ，A を攻撃先とするサービス妨害攻撃と推定できます。
- イ誤り。パスワードリスト攻撃は，流出したID・パスワードの一覧を用いてログインを試行する攻撃であり，SYN/ACK パケットの観測から推定できるものではありません。
- ウ誤り。観測されたパケットの送信元は A であり，A が攻撃先（標的）であって攻撃元ではないと考えられます。
- エ誤り。パスワードリスト攻撃ではなく，また A は攻撃元ではなく攻撃先と考えられます。