NTPとは？

NTPの意味

ネットワーク経由で時刻を同期するプロトコル。UDP 123番を使い、階層（stratum）構造で上位の正確な時刻源から配布する。往復遅延を測定して片道遅延を補正する。

NTPの具体例

社内にNTPサーバを立てて外部の上位サーバと同期し、全機器はそれを参照する。ログの時刻がそろい、証跡の突き合わせができる。

NTPは試験でどう引っ掛けられる？

過去の実装のmonlist機能は小さな要求に対して非常に大きな応答を返すため、増幅攻撃に悪用された。対策はmonlistの無効化とバージョンアップ。

NTPと関連する用語

• DRDoS
• syslog

NTPが出た過去問

• NTPを使った増幅型のDDoS攻撃に対して、NTPサーバが踏み台にされることを防止する対策として、適切なものはどれか。

  正解：NTPサーバの設定変更によって、NTPサーバの状態確認機能（monlist）を無効にする。

  要点：NTP増幅攻撃対策はmonlist機能の無効化

  NTP増幅攻撃は、送信元IPアドレスを偽装した小さな要求に対して大きな応答が返る機能を悪用する。特にmonlistは直近の通信相手一覧を大量に返すため増幅率が非常に高い。したがって、この状態確認機能を無効化する（または対応版へ更新する）ことが踏み台化を防ぐ直接的な対策となる。

  出典：平成28年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問18（IPA）

• リフレクタ攻撃に悪用されることの多いサービスの例はどれか。

  正解：DNS, Memcached, NTP

  要点：UDPで応答が大きく増幅されるサービスが反射攻撃に悪用される

  リフレクタ攻撃（反射攻撃）は、送信元IPアドレスを標的に詐称した要求を第三者のサーバに送り、その応答を標的へ集中させる攻撃である。UDPを使い、要求より応答がはるかに大きくなるサービスが悪用されやすく、DNS・NTP（monlist）・Memcachedはいずれも増幅率が大きいことで知られる代表例である。

  出典：令和3年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問17（IPA）

• NTPを使った増幅型のDDoS攻撃に対して、NTPサーバが踏み台にされることを防止する対策の一つとして、適切なものはどれか。

  正解：NTPサーバの設定変更によって、NTPサーバの状態確認機能（monlist）を無効にする。

  要点：NTP増幅攻撃対策の要はmonlist機能の無効化

  NTPを使った増幅型DDoS攻撃では、応答が要求よりはるかに大きくなるmonlist（直近に問い合わせてきたホストの一覧を返す状態確認機能）が悪用される。送信元を標的に詐称した要求を受けたNTPサーバが大量の応答を標的へ送ってしまうため、この機能を無効にすることが踏み台化を防ぐ直接的な対策になる。

  出典：令和5年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問17（IPA）

• DRDoS攻撃に該当するものはどれか。

  正解：多数のDNSサーバに対して送信元のIPアドレスを標的のIPアドレスに偽装したリクエストを送信し、それらのサーバの応答パケットによって、標的のサーバのリソースを枯渇させ、利用を妨害する。

  要点：DRDoSは送信元偽装で第三者の応答を標的に集中させる反射攻撃

  DRDoS（分散反射型サービス妨害）攻撃は、送信元IPアドレスを標的のものに偽装したリクエストを多数の公開サーバに送り、その応答を標的へ集中させる攻撃である。DNSやNTPのように問合せより応答が大きいプロトコルが悪用され、増幅（アンプ）効果によって攻撃規模が拡大する。攻撃者自身のアドレスが隠れる点も特徴である。

  出典：令和7年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問18（IPA）