ダークネット観測とは？だーくねっとかんそく
ダークネット観測とは、割り当てはあるが実際には使われていないIPアドレス空間へ届くパケットを集め、スキャンやマルウェアの感染活動、攻撃の兆候を把握する手法。本来そこへ通信が来る理由がないため、届いたパケットそのものが異常の記録になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
個々の組織のログだけを見ていると、自組織に届いた分しか分からず、流行が始まっていることに気づくのが遅れる。使われていないアドレス空間を大きくまとめて観測すれば、特定の脆弱性を狙う探索が世の中で増えた時点を捉えられる。防御を、自分が攻撃された後ではなく、狙われ始めた時点へ前倒しするための仕組みである。
具体例
NICTが運用するNICTERは大規模なダークネット観測網で、特定ポート宛のSYNが急増した時点で新しい探索の流行が分かる。組込み機器のtelnet（23番）宛が増えていると分かれば、自社の該当機器が外部へ露出していないかを先に点検できる。
試験での引っ掛け
大量のSYN/ACKが観測される場合、それは送信元IPを詐称されたSYNを受け取ったサーバからの応答であり、詐称された側（＝観測対象アドレス）が反射型DoSの標的にされている痕跡と読む。届いたパケットの送信元IPを、そのまま攻撃元として扱えない点が要点である。
関連用語
出た過去問
出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問17（IPA）解説で登場
未使用のIPアドレス空間であるダークネットに到達する通信の観測において、送信元IPアドレスがA、送信元ポート番号が80/tcpのSYN/ACKパケットを受信した…
正解：IPアドレスAを攻撃先とするサービス妨害攻撃
要点：ダークネット観測のSYN/ACKは送信元へのDoSの痕跡
ダークネットには本来通信が届かないので、そこにSYN/ACKが届いたということは、Aが送信元を偽装したSYNを受け取り、その偽装先へ応答を返した結果と考えられる。これはバックスキャッタと呼ばれる現象で、送信元を詐称した大量のSYNがAへ送られている、すなわちAを標的とするサービス妨害攻撃が進行中だと推測できる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。