【情報処理安全確保支援士試験 令和6年度 秋期 午前2 問6】Smurf攻撃の深掘り！DoS攻撃の古典的手法を知り、対策をマスターしよう
今回は、ネットワークセキュリティの分野でしばしば耳にする、しかし意外と深く知らない方もいらっしゃるかもしれない「Smurf攻撃」について、じっくり解説していきたいと思います。情報処理安全確保支援士やネットワークスペシャリストを目指す皆さんにとって、DoS攻撃の古典的な手法を理解することは、現在の脅威を理解する上でも非常に重要です。
一緒に、Smurf攻撃の仕組みから対策まで、深掘りしていきましょう！
情報処理安全確保支援士試験 令和6年度 秋期 午前2 問6
【出典：情報処理安全確保支援士試験 令和6年度 秋期 午前2（一部、加工あり）】
Smurf攻撃はどれか。
ア ICMPエコー要求パケットの送信元IPアドレスに攻撃対象のIPアドレスを設定し、宛先にブロードキャストアドレスを設定して送信することによって攻撃対象を利用不能にさせる。
イ 送信元IPアドレスに偽のIPアドレスを設定し、かつ、攻撃対象の受信可能範囲を超える大きなパケットを送信して攻撃対象を停止させる。
ウ 送信元IPアドレスに偽のIPアドレスを設定した大量のSYNパケットを送信し、攻撃対象からのSYN-ACKパケットに対してSYN-ACKの応答を送信しないことによって攻撃対象のリソースを枯渇させる。
エ ボットネットを使って多数の端末から攻撃対象のメールサーバに大量のなりすましメールを送信し、攻撃対象のメールサーバを停止させる。
Smurf攻撃とは？その巧妙な仕組みに迫る
Smurf攻撃は、分散型サービス拒否（DDoS）攻撃の一種で、ICMP（Internet Control Message Protocol）を利用した増幅攻撃（Amplification Attack）に分類されます。
簡単に言うと、「小さな問いかけ（要求）を、大量の大きな応答に変えて、標的（攻撃対象）に浴びせかける」攻撃です。
もう少し詳しく見ていきましょう。
キーワードの定義
- Smurf攻撃: ICMPエコー要求（ping要求）を利用し、ネットワーク上の多数のホストからの応答を特定のターゲットに集中させることで、サービス妨害を引き起こす攻撃。
背景・経緯：なぜSmurf攻撃が生まれたのか？
Smurf攻撃が広く知られるようになったのは1990年代後半です。当時は、ネットワーク機器の設定が甘く、ブロードキャストアドレスへのICMPエコー要求に対する応答がデフォルトで有効になっていることが多かったため、この攻撃が非常に有効でした。
攻撃者は、この設定の脆弱性を悪用し、標的となるサーバーやネットワークに対して大量のトラフィックを送り込み、その機能を停止させることを目論みました。
Smurf攻撃の事例：どのように実行されるのか？
具体的な攻撃の流れは以下のようになります。
- 攻撃者が準備: 攻撃者は、攻撃対象（ターゲット）のIPアドレスを「送信元IPアドレス」に偽装（スプーフィング）したICMPエコー要求パケットを作成します。
- ブロードキャストアドレスへ送信: この偽装したパケットを、IPブロードキャストを許可しているネットワークのブロードキャストアドレス（例: 192.168.1.255など）宛に送信します。
- 増幅（アンプリフィケーション）: ブロードキャストアドレス宛のパケットを受信したネットワーク内のすべてのホストは、送信元IPアドレス（つまり、攻撃対象のIPアドレス）に対してICMPエコー応答を返します。
- 攻撃対象への集中: 結果として、たった1つのブロードキャストパケットが、ネットワーク内のホスト数に応じた大量のICMPエコー応答となって、攻撃対象に集中します。これにより、攻撃対象は大量の不要なトラフィックで帯域幅が飽和したり、リソースが枯渇したりして、正常なサービスを提供できなくなります。
想像してみてください。小さな石を一つ投げたら、それが何百、何千倍もの大きな岩となって返ってくるようなものです。
課題：なぜ今でも注意が必要なのか？
Smurf攻撃自体は、現代のネットワーク機器ではデフォルトでブロードキャストアドレスへのICMP応答が無効化されていることが多く、直接的な被害は減少しています。しかし、その概念は他のDDoS攻撃にも応用されており、増幅攻撃の原理を理解する上で非常に重要です。
また、設定ミスや古い機器の利用など、予期せぬ脆弱性が残っている可能性もゼロではありません。
対策：Smurf攻撃から身を守るために
Smurf攻撃に対する主な対策は以下の通りです。
- ルーターやファイアウォールでの設定:
- ブロードキャストアドレスへのICMP応答の無効化: これが最も基本的な対策です。ルーターやネットワークデバイスで、ブロードキャストアドレス宛のICMPエコー要求に対する応答を無効にします。
- 送信元IPアドレスのフィルタリング（Ingress Filtering）: ネットワークの入り口（Ingress）で、外部から入ってくるパケットの送信元IPアドレスが、自ネットワークのものでないことを確認し、偽装されたパケットを破棄します。これはSmurf攻撃だけでなく、IPアドレス偽装を用いた多くの攻撃に有効です。
- ICMPトラフィックの監視: 不自然なICMPトラフィックの急増を検知できるよう、ネットワーク監視システムを導入します。
今後の動向：Smurf攻撃から学ぶこと
Smurf攻撃は「古典的」な攻撃手法ではありますが、その「増幅」という考え方は、DNS増幅攻撃やNTP増幅攻撃など、現代のDDoS攻撃にも通じるものがあります。
これらの攻撃も、小さな要求を大量の応答に変え、ターゲットに負荷をかけるという点でSmurf攻撃と共通の原理を持っています。
Smurf攻撃を理解することは、単に過去の攻撃を知るだけでなく、現在の、そして未来のDDoS攻撃のトレンドを予測し、より効果的な対策を講じるための基礎知識となります。
常に最新のセキュリティ情報にアンテナを張り、進化する脅威に対処できる力を養っていきましょう！
Smurf攻撃はどれか。
では、上記の解説を踏まえて、問題の解答を見ていきましょう。
ア ICMPエコー要求パケットの送信元IPアドレスに攻撃対象のIPアドレスを設定し、宛先にブロードキャストアドレスを設定して送信することによって攻撃対象を利用不能にさせる。
イ 送信元IPアドレスに偽のIPアドレスを設定し、かつ、攻撃対象の受信可能範囲を超える大きなパケットを送信して攻撃対象を停止させる。
ウ 送信元IPアドレスに偽のIPアドレスを設定した大量のSYNパケットを送信し、攻撃対象からのSYN-ACKパケットに対してSYN-ACKの応答を送信しないことによって攻撃対象のリソースを枯渇させる。
エ ボットネットを使って多数の端末から攻撃対象のメールサーバに大量のなりすましメールを送信し、攻撃対象のメールサーバを停止させる。
【解説】
- ア: この選択肢は、まさにSmurf攻撃の定義そのものです。ICMPエコー要求、送信元IPアドレスの偽装（攻撃対象のIPアドレス）、宛先へのブロードキャストアドレス、そしてそれによる増幅効果によって攻撃対象を利用不能にさせる、という流れが完全に一致しています。
- イ: これは「巨大パケット攻撃（Fraggle攻撃など、断片化攻撃の一種）」や「Ping of Death」のような攻撃を指しますが、Smurf攻撃のような増幅の仕組みは含みません。
- ウ: これは「SYNフラッド攻撃」の典型的な説明です。TCPの3ウェイハンドシェイクの過程を悪用し、サーバーのリソース（コネクション待ちキュー）を枯渇させる攻撃です。
- エ: これは「メールボム」や「大量メール送信攻撃」といった、メールサーバーに対するサービス妨害攻撃の一種です。ボットネットを利用することで、分散型サービス拒否攻撃となります。
したがって、正解はアです。
いかがでしたでしょうか？ Smurf攻撃について、少しでも深く理解を深めていただけたなら嬉しいです。
情報セキュリティの世界は奥深く、常に新しい知識が求められます。これからも一緒に学んで、より安全なネットワーク社会を築いていきましょう！
