NAPTとDHCPのログ解析【情報処理安全確保支援士試験平成30年度秋期午後1 問2 No.3】

情報処理安全確保支援士試験平成30年度秋期午後1 問2 No.3

【出典：情報処理安全確保支援士試験平成30年度秋期午後1問2（一部、加工あり）】

【無線LANセグメントの調査】
　10.100.130.1は、ルータとして動作しているAPに割り当てたIPアドレスであることが分かった。APではNAPTでIPアドレスの変換をしてPCと接続していることから、APに接続しているPCがワームVに感染している可能性があると判断した。これらのPCのIPアドレスはAPのDHCP機能で設定していることから、APの通信ログ及びDHCPサーバ機能のログ（以下、DHCPサーバログという）を調査することにした。
　DHCPサーバ機能では、IPアドレスのリース期間を1時間にしており、プールしているIPアドレス範囲から適宜リースする。APでの通信ログのうち宛先IPアドレスがG社の利用していないIPアドレスであり、かつ、宛先ポートが445/TCPのものを表1に示す。表2に10月28日のAPのDHCPサーバログを示す。M君は、表1と表2を基に、445/TCPのポートをスキャンしているPCを特定した。

APの通信ログとDHCPサーバログを調査して、ワームVに感染したと判断すべきPCを全て答えよ。：PC101,PC133,PC277,PC301,PC321,PC340

　表1（APの通信ログ）から分かることを整理しましょう。
　NAPT変換前IPアドレスに登場するのは4個で、それぞれ宛先IPアドレスを変えて445/TCPのポートスキャンを行った時間帯は以下の通りです。

192.168.0.8：10/28 14:26:45 – 17:31:25
192.168.0.12：10/28 16:51:50 – 17:31:25
192.168.0.32：10/28 14:25:02 – 17:31:23
192.168.0.44：10/28 14:27:18 – 17:31:22

　注意が必要なのは、表1の省略されている時間帯では、上記の通信が複数発生している可能性があるということです。
　そして、この時間帯にNAPT変換前IPアドレスを使用していたPCを表2（APのDHCPサーバログ）から探します。
　ここで、「DHCPサーバ機能では、IPアドレスのリース期間を1時間に設定」とありますが、PCが接続状態の時はリース期間の1時間を経過してもそのままIPアドレスを継続利用できることに留意します。
　したがって、ポートスキャンが開始された時間帯より遡って、リースされたPCが対象になります。