問7 未使用アドレスに届く SYN/ACK

情報処理​安全確保​支援士 令和7年度 秋期 午前II、全25問のうちの問7。

出典:令和7年度 秋期 情報処理安全確保支援士試験 午前II 問7

送信元 IP アドレスが A,送信元ポート番号が 8⁠0/tcp,宛先 IP アドレスがホストに割り振られていない未使用の IP アドレスである SYN/ACK パケットを大量に観測した場合,推定できる攻撃はどれか。

  1. アIP アドレス A を攻撃先とするサービス妨害攻撃
  2. イIP アドレス A を攻撃先とするパスワードリスト攻撃
  3. ウIP アドレス A を攻撃元とするサービス妨害攻撃
  4. エIP アドレス A を攻撃元とするパスワードリスト攻撃
答えと解説を開く

正解はアです。

TCP の接続は、SYN、SYN/ACK、ACK の順に始まります。SYN/ACK は、SYN を受け取ったサーバが返す 2 つ目のパケットです。送信元のポートが 8⁠0 (Web) なので、A は Web サーバとして SYN に答えています。宛先が使われていないアドレスなのは、攻撃者が SYN の送信元をでたらめなアドレスに偽ったからです。A は大量の SYN を受けて接続の待ちが溜まる、サービス妨害攻撃 (SYN フラッド) の攻撃先だと推定できます。アが正解です。

ほかの選択肢が違う理由

  • イパスワードリスト攻撃は、接続を最後まで確立してログインを試す必要があります。送信元を偽った SYN では接続が成り立たないので、この観測とは合いません。
  • ウA は SYN/ACK を返している側、つまり SYN を受けた側です。攻撃元と見るのは向きが逆です。
  • エ向きが逆で、しかも接続を必要とするパスワードリスト攻撃とも合いません。

仕組み

使われていないアドレスあてのパケットを集めて観測する仕組みを、ダークネットの観測と言います。本来だれも使っていないアドレスに届く SYN/ACK は、どこかで送信元を偽った攻撃が起きている跡で、跳ね返りという意味でバックスキャッタと呼ばれます。

SYN を受けたサーバは、相手からの ACK を待つ間、接続の情報を覚えておきます。偽の送信元からは ACK が来ないので、待ちの枠が埋まり、本物の利用者がつながれなくなります。SYN cookie のように、ACK が来るまで状態を持たない工夫で耐えられます。

この問に出る言葉