DRDoSとは？

DRDoSの意味

送信元IPアドレスを標的のものに詐称した要求を多数の公開サーバへ送り、その応答を標的へ集中させる攻撃。要求より応答が大きいサービスを使うと増幅効果が生じる。

DRDoSの具体例

オープンリゾルバへのDNS問合せ、NTPのmonlist、memcachedなどがよく悪用される。

DRDoSは試験でどう引っ掛けられる？

攻撃者は標的と直接通信しないため、標的から見た送信元は無関係な正規サーバになり、遮断が難しい。踏み台側の対策（オープンリゾルバの解消、monlist無効化）と、送信元詐称を防ぐBCP38（イングレスフィルタリング）が要点。

DRDoSと関連する用語

• オープンリゾルバ
• NTP
• DoS攻撃／DDoS攻撃

DRDoSが出た過去問

• NTPを使った増幅型のDDoS攻撃に対して、NTPサーバが踏み台にされることを防止する対策として、適切なものはどれか。

  正解：NTPサーバの設定変更によって、NTPサーバの状態確認機能（monlist）を無効にする。

  要点：NTP増幅攻撃対策はmonlist機能の無効化

  NTP増幅攻撃は、送信元IPアドレスを偽装した小さな要求に対して大きな応答が返る機能を悪用する。特にmonlistは直近の通信相手一覧を大量に返すため増幅率が非常に高い。したがって、この状態確認機能を無効化する（または対応版へ更新する）ことが踏み台化を防ぐ直接的な対策となる。

  出典：平成28年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問18（IPA）

• DNSの再帰的な問合せを使ったサービス妨害攻撃（DNSリフレクタ攻撃）の踏み台にされることを防止する対策はどれか。

  正解：DNSサーバをキャッシュサーバとコンテンツサーバに分離し、インターネット側からキャッシュサーバに問合せできないようにする。

  要点：リフレクタ攻撃対策は外部からの再帰問合せを止めること

  DNSリフレクタ攻撃は、送信元を詐称した問合せをオープンリゾルバへ送り、大きな応答を標的へ集中させる攻撃である。踏み台にされないためには、外部から自由に再帰問合せができる状態をなくせばよい。キャッシュサーバとコンテンツサーバを分け、キャッシュサーバへはインターネット側から問い合わせられないようにする。

  出典：令和1年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問21（IPA）

• リフレクタ攻撃に悪用されることの多いサービスの例はどれか。

  正解：DNS, Memcached, NTP

  要点：UDPで応答が大きく増幅されるサービスが反射攻撃に悪用される

  リフレクタ攻撃（反射攻撃）は、送信元IPアドレスを標的に詐称した要求を第三者のサーバに送り、その応答を標的へ集中させる攻撃である。UDPを使い、要求より応答がはるかに大きくなるサービスが悪用されやすく、DNS・NTP（monlist）・Memcachedはいずれも増幅率が大きいことで知られる代表例である。

  出典：令和3年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問17（IPA）

• DNSの再帰的な問合せを使ったサービス妨害攻撃（DNSリフレクタ攻撃）の踏み台にされないための対策はどれか。

  正解：DNSサーバをDNSキャッシュサーバと権威DNSサーバに分離し、インターネット側からDNSキャッシュサーバに問合せできないようにする。

  要点：オープンリゾルバをなくすことがDNS反射攻撃の踏み台対策

  DNSリフレクタ攻撃の踏み台になるのは、外部の誰からでも再帰的問合せを受け付けてしまうオープンリゾルバである。キャッシュサーバ（再帰問合せに応じる）と権威サーバ（自ゾーンの応答だけ返す）を分離し、キャッシュサーバへの問合せは内部からだけに制限することで、踏み台にされることを防げる。

  出典：令和4年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問21（IPA）

• NTPを使った増幅型のDDoS攻撃に対して、NTPサーバが踏み台にされることを防止する対策の一つとして、適切なものはどれか。

  正解：NTPサーバの設定変更によって、NTPサーバの状態確認機能（monlist）を無効にする。

  要点：NTP増幅攻撃対策の要はmonlist機能の無効化

  NTPを使った増幅型DDoS攻撃では、応答が要求よりはるかに大きくなるmonlist（直近に問い合わせてきたホストの一覧を返す状態確認機能）が悪用される。送信元を標的に詐称した要求を受けたNTPサーバが大量の応答を標的へ送ってしまうため、この機能を無効にすることが踏み台化を防ぐ直接的な対策になる。

  出典：令和5年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問17（IPA）