マルウェアとDDoS攻撃への対策

マルウェアとDDoS攻撃は、感染端末の遠隔操作や大量の通信によって、サービスや利用者に被害を与える攻撃である。対策は、感染経路を断つこと、感染しても被害が広がらない構成にすること、攻撃の踏み台や増幅に悪用されない設定にすることに分けて考える。試験では、攻撃の仕組みと、その仕組みを断つ対策を結び付ける問題が多い。

遠隔操作型マルウェアとC&Cサーバ

ボットネットは、感染した多数の端末が攻撃者の指令によって動く仕組みである。その指令を送る中核がC&Cサーバであり、遠隔操作が可能なマルウェアに対して、情報収集や攻撃活動を指示する役割を担う。

C&Cサーバの役割は、感染端末への指令に限られる。踏み台となったサーバからの通信を制御・遮断する機能、偽のデジタル証明書を発行させる機能、Webコンテンツを一元管理する機能は、いずれもC&Cサーバの役割ではない。これらは通信防御、認証局の不正利用、コンテンツ管理の説明であり、区別して理解する必要がある。

増幅型DDoS攻撃の仕組み

NTPを使った増幅型DDoS攻撃では、攻撃者が送信元IPアドレスを被害者のものに偽装し、NTPサーバに小さな要求を送る。NTPサーバのmonlist機能は、要求を送ったクライアントの情報を返すため、応答が要求より大きくなる。その大きな応答が被害者に届くことで、攻撃の規模が増幅される。

NTPサーバが踏み台にされることを防ぐには、monlistの状態確認機能を無効にすることが有効である。これは、増幅の仕組みそのものを断つ対策である。ただし、外部のNTPサーバへの時刻問合せを制限する設定や、ブロードキャストアドレス宛てのパケットを拒否する設定、UDPの一般的な拒否は、この攻撃への対策としては不十分である。