ICMPとは？

ICMPの意味

IPの制御・エラー通知を担うプロトコル。到達不能通知、時間超過（TTL切れ）、エコー要求／応答（ping）、リダイレクト（より適切な経路の通知）などのメッセージがある。

ICMPの具体例

外部からのICMPを一律遮断していたところ、経路上の到達不能（パケット過大）まで捨てていたため、大きなHTTPS応答だけが届かない事象が起きた。PMTU探索に必要なメッセージは通し、エコー要求は許可しないと、種別ごとに判断を分けた。

ICMPは試験でどう引っ掛けられる？

pingを遮断したい場合はICMPの通過を禁止する。ただし全面遮断はPath MTU Discoveryの失敗など通信障害を招くことがある。ICMPを悪用した攻撃にはSmurfやICMP Flood、ICMPトンネリングによるデータ持出しがある。

ICMPと関連する用語

• Smurf攻撃
• ファイアウォール

ICMPが出た過去問

• DoS攻撃の一つであるSmurf攻撃はどれか。

  正解：ICMPの応答パケットを大量に送り付ける。

  要点：SmurfはICMP応答を標的へ集中させる反射攻撃

  Smurf攻撃は、送信元を標的に詐称したICMPエコー要求をブロードキャストアドレス宛に送り、多数のホストからのエコー応答を標的へ集中させる攻撃です。ICMPの応答パケットが大量に押し寄せることでサービス不能に陥ります。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問7（IPA）

• DMZ上のコンピュータがインターネットからのpingに応答しないようにしたいとき，ファイアウォールのルールで“通過禁止”に設定するものはどれか。

  正解：ICMP

  要点：pingを止めるにはICMPの通過を禁止する

  pingはICMPのエコー要求と応答を用いる仕組みです。したがってインターネット側からのpingに応答させたくない場合は、ファイアウォールでICMPを通過禁止に設定します。ポート番号による指定はTCPやUDPの話であり、ICMPには当てはまりません。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問15（IPA）

• DoS攻撃の一つであるSmurf攻撃はどれか。

  正解：ICMPの応答パケットを攻撃対象に大量に送り付ける。

  要点：Smurfは詐称ICMPで応答を対象に集中させる増幅DoS

  Smurf攻撃は、送信元IPアドレスを攻撃対象に詐称したICMPエコー要求をネットワークのブロードキャストアドレス宛に送り、多数のホストからのICMPエコー応答を攻撃対象に集中させる増幅型のDoS攻撃である。攻撃者のわずかな送信量が多数の応答に増幅される点が特徴となる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問7（IPA）

• ICMP Flood攻撃に該当するものはどれか。

  正解：pingコマンドを用いて大量の要求パケットを発信することによって，攻撃対象のサーバに至るまでの回線を過負荷にしてアクセスを妨害する。

  要点：ICMP Floodは大量のping要求で帯域を消費させる

  ICMP Flood攻撃は、pingで使うICMPエコー要求を大量に送りつけ、標的や経路の帯域・処理能力を消費させてサービスを妨害する攻撃です。TCPやHTTPを使う他のフラッド攻撃と区別できることが問われています。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問18（IPA）

• IPv4において,IPパケットで送られているデータが,ICMPメッセージであることを識別できるヘッダ情報はどれか。

  正解：IPヘッダのプロトコル番号

  要点：IPヘッダのプロトコル番号がICMPかTCPかを示す

  IPv4ヘッダのプロトコル番号フィールドは、そのIPパケットのペイロードがどの上位プロトコルであるかを示す。ICMPは1、TCPは6、UDPは17といった値が割り当てられており、受信側はこの値を見て適切な処理へ振り分ける。ICMPはIPの上に直接載るためポート番号を持たず、識別はこのフィールドに依存する。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問18（IPA）