UDPとは？

UDPの意味

コネクションを確立せず、順序保証も再送も行わないトランスポート層プロトコル。ヘッダが8バイトと小さく低遅延だが、送信元IPの詐称が容易で、要求より応答が大きいサービスは増幅型DDoSの踏み台にされる。DNS・NTP・SNMPが代表例。

UDPの具体例

53/udpのDNSに対し、送信元を被害者のIPに詐称した問合せを大量に送ると、応答が数十倍に増幅されて被害者へ集中する。対策はオープンリゾルバの解消、経路上での送信元検証（BCP38）、応答レート制限（RRL）の組合せになる。

UDPは試験でどう引っ掛けられる？

「UDPはステートレスだからファイアウォールで戻りを許可できない」は誤りで、多くの機器は擬似セッションをタイムアウト管理する。ハンドシェイクが無いのは到達確認が無いという意味で、暗号化の有無とは無関係。

UDPと関連する用語

• TCPの3ウェイハンドシェイク
• DNSリフレクション攻撃
• ポート番号

UDPが出た過去問

• DMZ上のコンピュータがインターネットからのpingに応答しないようにしたいとき，ファイアウォールのルールで“通過禁止”に設定するものはどれか。

  正解：ICMP

  要点：pingを止めるにはICMPの通過を禁止する

  pingはICMPのエコー要求と応答を用いる仕組みです。したがってインターネット側からのpingに応答させたくない場合は、ファイアウォールでICMPを通過禁止に設定します。ポート番号による指定はTCPやUDPの話であり、ICMPには当てはまりません。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問15（IPA）

• UDPの性質を悪用したDDoS攻撃に該当するものはどれか。

  正解：DNSリフレクタ攻撃

  要点：UDPの詐称容易性を悪用した反射増幅型DDoS

  UDPはコネクションを確立しないため送信元IPアドレスの詐称が容易で、小さな要求に大きな応答が返るサービスと組み合わせると増幅型のDDoSが成立します。DNSリフレクタ攻撃はその代表で、詐称した問合せの応答を標的へ集中させます。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問7（IPA）

• クラスDのIPアドレス(224.0.0.0〜239.255.255.255)に関する記述として,適切なものはどれか。

  正解：UDPなどを用いるマルチキャスト通信で使用される。

  要点：クラスDはマルチキャスト用に予約された範囲

  224.0.0.0から239.255.255.255までのクラスDはマルチキャストアドレスとして予約されており、特定のグループに属する複数の受信者へ同じデータを送る通信に使われます。再送制御を伴わないUDPと組み合わせて用いられるのが一般的です。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問19（IPA）

• IPv4において,IPパケットで送られているデータが,ICMPメッセージであることを識別できるヘッダ情報はどれか。

  正解：IPヘッダのプロトコル番号

  要点：IPヘッダのプロトコル番号がICMPかTCPかを示す

  IPv4ヘッダのプロトコル番号フィールドは、そのIPパケットのペイロードがどの上位プロトコルであるかを示す。ICMPは1、TCPは6、UDPは17といった値が割り当てられており、受信側はこの値を見て適切な処理へ振り分ける。ICMPはIPの上に直接載るためポート番号を持たず、識別はこのフィールドに依存する。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問18（IPA）

• レイヤ3ネットワーク内に論理的なレイヤ2ネットワークをカプセル化によって構築するプロトコルはどれか。

  正解：VXLAN

  要点：VXLANはIP網上に論理的なL2網をカプセル化で作る

  VXLANは、イーサネットフレームをUDPで包んでIPネットワーク上を運ぶことで、レイヤ3で分断された拠点やサーバ間に論理的なレイヤ2セグメントを作る技術である。24ビットのVNIによって約1,677万の論理ネットワークを識別でき、VLAN IDが12ビットで4,094までに限られる制約を解消する。データセンタの仮想化基盤やマルチテナント環境で広く使われる。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問18（IPA）