DoS攻撃／DDoS攻撃とは？

DoS攻撃／DDoS攻撃の意味

大量の要求や不正なパケットを送りつけてサービスを提供できない状態にする攻撃がDoS。多数の踏み台（ボットネット）から分散して行うものがDDoS。

DoS攻撃／DDoS攻撃の具体例

ICMP Floodは大量のエコー要求で回線を飽和させ、SYN Floodは半開きコネクションでサーバの資源を枯渇させる。

DoS攻撃／DDoS攻撃は試験でどう引っ掛けられる？

DDoSとDRDoS（リフレクタ攻撃）を同一視しやすい。DDoSは感染させた多数の踏み台から直接送るのに対し、DRDoSは送信元IPを標的に詐称して無関係な公開サーバに応答させ、その応答を標的へ向ける（DNSやNTPによる増幅が典型）。またSYN Floodが枯渇させるのは回線帯域ではなく、接続待ち行列などのサーバ資源。

DoS攻撃／DDoS攻撃と関連する用語

• DRDoS
• SYN Flood
• CDN

DoS攻撃／DDoS攻撃が出た過去問

• NTPを使った増幅型のDDoS攻撃に対して、NTPサーバが踏み台にされることを防止する対策として、適切なものはどれか。

  正解：NTPサーバの設定変更によって、NTPサーバの状態確認機能（monlist）を無効にする。

  要点：NTP増幅攻撃対策はmonlist機能の無効化

  NTP増幅攻撃は、送信元IPアドレスを偽装した小さな要求に対して大きな応答が返る機能を悪用する。特にmonlistは直近の通信相手一覧を大量に返すため増幅率が非常に高い。したがって、この状態確認機能を無効化する（または対応版へ更新する）ことが踏み台化を防ぐ直接的な対策となる。

  出典：平成28年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問18（IPA）

• 未使用のIPアドレス空間であるダークネットに到達する通信の観測において、送信元IPアドレスがA、送信元ポート番号が80/tcpのSYN/ACKパケットを受信した…

  正解：IPアドレスAを攻撃先とするサービス妨害攻撃

  要点：ダークネット観測のSYN/ACKは送信元へのDoSの痕跡

  ダークネットには本来通信が届かないので、そこにSYN/ACKが届いたということは、Aが送信元を偽装したSYNを受け取り、その偽装先へ応答を返した結果と考えられる。これはバックスキャッタと呼ばれる現象で、送信元を詐称した大量のSYNがAへ送られている、すなわちAを標的とするサービス妨害攻撃が進行中だと推測できる。

  出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問17（IPA）

• 送信元IPアドレスがA、送信元ポート番号が80/tcpのSYN/ACKパケットを、未使用のIPアドレス空間であるダークネットにおいて大量に観測した場合、推定でき…

  正解：IPアドレスAを攻撃先とするサービス妨害攻撃

  要点：ダークネットのSYN/ACK大量観測は送信元へのDoSの痕跡

  ダークネットには本来通信が届かないので、そこへSYN/ACKが大量に届くということは、Aが送信元を詐称したSYNを大量に受け取り、その詐称された宛先へ応答を返している結果と考えられる。これはバックスキャッタと呼ばれ、Aを標的とするサービス妨害攻撃が進行中であることを示す。

  出典：令和1年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問18（IPA）

• NTPを使った増幅型のDDoS攻撃に対して、NTPサーバが踏み台にされることを防止する対策の一つとして、適切なものはどれか。

  正解：NTPサーバの設定変更によって、NTPサーバの状態確認機能（monlist）を無効にする。

  要点：NTP増幅攻撃対策の要はmonlist機能の無効化

  NTPを使った増幅型DDoS攻撃では、応答が要求よりはるかに大きくなるmonlist（直近に問い合わせてきたホストの一覧を返す状態確認機能）が悪用される。送信元を標的に詐称した要求を受けたNTPサーバが大量の応答を標的へ送ってしまうため、この機能を無効にすることが踏み台化を防ぐ直接的な対策になる。

  出典：令和5年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問17（IPA）

• Webコンテンツを提供する際にCDN (Content Delivery Network) を利用することによって、副次的に影響を軽減できる脅威はどれか。

  正解：DDoS攻撃

  要点：CDNの分散配信基盤はDDoSのトラフィックを吸収できる

  CDNは地理的に分散した多数のキャッシュサーバでコンテンツを配信する仕組みで、本来の目的は応答の高速化とオリジンサーバの負荷軽減である。しかし結果として膨大な配信能力と分散した受け口を持つことになるため、大量のトラフィックを送り付けるDDoS攻撃を吸収・分散でき、副次的に被害を軽減できる。

  出典：令和6年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問16（IPA）