DDoS 攻撃（リフレクション攻撃・Smurf 攻撃）

リフレクション攻撃（増幅型の攻撃）

UDP は接続の手順を踏まないので，送信元の IP アドレスを簡単に偽れます。リフレクション攻撃はこれを悪用します。

1. 攻撃者が，送信元を攻撃対象の IP アドレスに偽った要求を，インターネット上の第三者のサーバ（DNS・NTP・Memcached など）に大量に送る
2. サーバは，偽られた送信元，つまり攻撃対象に応答を返す
3. 小さな要求に対して大きな応答を返す機能を狙うので，攻撃者が送った量の何倍もの通信が攻撃対象に届く（増幅）

Smurf 攻撃

Smurf 攻撃は，送信元を攻撃対象の IP アドレスに偽った ICMP エコー要求（ping）を，ネットワークのブロードキャストアドレスあてに送る攻撃です。 そのネットワークの機器が一斉にエコー応答を返すので，大量の応答パケットが攻撃対象に集中します。 ブロードキャストを使って増幅する点で，リフレクション攻撃の一種といえます。

SYN フラッド攻撃と SYN/ACK の観測

SYN フラッド攻撃は，TCP の接続要求（SYN）だけを大量に送り，サーバに接続の途中の状態を溜め込ませて，新しい接続を受け付けられなくする攻撃です。 攻撃者は送信元の IP アドレスをでたらめに偽るので，サーバの返す応答（SYN/ACK）は，でたらめなあて先に散らばります。

どこにも使われていない IP アドレス空間（ダークネット）に，送信元が A で送信元ポートが 80/tcp の SYN/ACK が大量に届いたら， A の Web サーバが SYN フラッド攻撃を受け，偽りのあて先に応答を返していると推定できます。つまり攻撃されているのは A です。

ボットネットと対策

DDoS 攻撃の通信の発信元になるのは，マルウェアに感染した多数のコンピュータ（ボットネット）です。 C&C サーバが，遠隔操作できる状態になった機器に攻撃などの指示を出します。 マルウェアの Mirai は，初期設定の弱いパスワードのままの IoT 機器に次々に感染を広げ，C&C サーバの指令で DDoS 攻撃を行いました。

いくつもの種類の攻撃（SYN フラッドと HTTP の大量の要求，サーバの資源を枯渇させる攻撃と帯域を埋める攻撃など）を同時に仕掛けるものを，マルチベクトル型 DDoS 攻撃と呼びます。 Web サイトの側では，コンテンツを各地のサーバから配る CDN を使うと，通信が分散されて DDoS 攻撃の影響を軽減できます。

試験での問われ方

当サイトが収録している科目A（午前）の問題のうち，DDoS・Smurf・リフレクタ・サービス妨害などの語が出てくるのは38問です。 ほとんどが情報処理安全確保支援士とネットワークスペシャリストの科目A-2（午前Ⅱ）です。型ごとに数えると次のとおりです。

• リフレクション攻撃（16問）。DNS サーバが踏み台にされないための対策（「DNS サーバを DNS キャッシュサーバと権威 DNS サーバに分離し，インターネット側から DNS キャッシュサーバに問合せできないようにする。」など7問）， NTP サーバの対策（「NTP サーバの設定変更によって，NTP サーバの状態確認機能（monlist）を無効にする。」，3問），NTP リフレクション攻撃の特徴（2問）， リフレクタ攻撃に悪用されることの多いサービス（「DNS，Memcached，NTP」，2問），UDP の性質を悪用した DDoS 攻撃，DNS への攻撃の標的です。
• Smurf 攻撃（9問）。説明を選ぶ問題で，正解は「ICMP の応答パケットを大量に発生させ，それが攻撃対象に送られるようにする。」などです。
• SYN/ACK の観測から推定する攻撃（5問）。正解はどれも「IP アドレス A を攻撃先とするサービス妨害攻撃」です。
• ボットネット（4問）。マルウェア Mirai の動作（3問）と，C&C サーバの役割です。
• マルチベクトル型 DDoS 攻撃（3問）。「Web サイトに対して，SYN Flood 攻撃と HTTP POST Flood 攻撃を同時に行う。」などです。
• このほか，CDN を利用して影響を軽減できる脅威を選ぶ問題（正解は DDoS 攻撃）があります。

出題された過去問（38問）

リンク先の年度ページで，問題と解説を読めます。

関連する用語

DNS のセキュリティ（DNSSEC・キャッシュポイズニング）　ファイアウォールと DMZ　WAF・IDS・IPS