UDPとは？

UDPの意味

コネクションレス型で、再送制御も順序保証も行わないトランスポート層プロトコル。ヘッダは8オクテットと小さく、オーバヘッドと遅延が小さい。

UDPの具体例

DNS、DHCP、SNMP、RTPによる音声・映像、NTPなど、即時性を優先する通信で使われる。

UDPは試験でどう引っ掛けられる？

応答が要求より大きく増幅されるUDPサービス（DNS、NTP、memcachedなど）は、送信元IPを詐称できるため反射・増幅型DDoSに悪用されやすい。

UDPと関連する用語

• TCP
• DRDoS
• RTP

UDPが出た過去問

• インターネットプロトコルのTCPとUDP両方のヘッダに存在するものはどれか。

  正解：送信元ポート番号

  要点：ポート番号はTCP・UDP両方のヘッダに共通する

  TCPヘッダとUDPヘッダに共通して存在するのは、送信元ポート番号・宛先ポート番号・チェックサムである。ポート番号はトランスポート層でアプリケーションを識別するために両者とも必要になる。一方、シーケンス番号やウィンドウサイズはTCPだけがもつ。

  出典：平成28年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問10（IPA）

• UDPを使用するプロトコルはどれか。

  正解：DHCP

  要点：DHCPはUDP（サーバ67番/クライアント68番）を使う

  DHCPは、IPアドレスがまだ決まっていない状態でブロードキャストによりサーバを探すところから始まるため、コネクションレスなUDPを使用する。サーバは67番、クライアントは68番のUDPポートを用いる。

  出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問10（IPA）

• 脆弱性検査で、対象ホストに対してポートスキャンを行った。対象ポートの状態を判定する方法のうち、適切なものはどれか。

  正解：対象ポートにUDPパケットを送信し、対象ホストからメッセージ"ICMP port unreachable"を受信するとき、対象ポートが閉じていると判定する。

  要点：UDPスキャンでICMP port unreachableは閉塞を意味する

  UDPポートスキャンでは、UDPパケットを送った結果を見て判定する。対象ポートが閉じていれば、そのホストは"ICMP port unreachable" を返してくる。逆に開いている場合はアプリケーションの応答が返るか、何も返らないことが多い。

  出典：令和1年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問19（IPA）

• インターネットプロトコルのTCPとUDP両方のヘッダに存在するものはどれか。

  正解：送信元ポート番号

  要点：TCPとUDPが共通で持つのはポート番号とチェックサム

  TCPヘッダとUDPヘッダはいずれもトランスポート層のヘッダであり、送信元ポート番号・宛先ポート番号・チェックサムを共通して持つ。IPアドレスやTTLはネットワーク層であるIPヘッダのフィールドであり、MACアドレスはデータリンク層のヘッダにある。層とフィールドの対応を整理して覚えたい。

  出典：令和3年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問13（IPA）

• リフレクタ攻撃に悪用されることの多いサービスの例はどれか。

  正解：DNS, Memcached, NTP

  要点：UDPで応答が大きく増幅されるサービスが反射攻撃に悪用される

  リフレクタ攻撃（反射攻撃）は、送信元IPアドレスを標的に詐称した要求を第三者のサーバに送り、その応答を標的へ集中させる攻撃である。UDPを使い、要求より応答がはるかに大きくなるサービスが悪用されやすく、DNS・NTP（monlist）・Memcachedはいずれも増幅率が大きいことで知られる代表例である。

  出典：令和3年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問17（IPA）