セキュリティ監視の手順

セキュリティ監視の手順は、ログ、通信のフロー、侵入検知の警報を集め、疑わしい活動を確かめて、関係者に連絡する流れです。

■ 試験で押さえるポイント

• ふだん通信しない管理用のポートへの多数の接続は、送信元と宛先、成功・失敗を調べます。

• ダークネット（使われていないアドレス）への通信は、攻撃やマルウェアの活動を示すことがあります。

• 警報の重大度に応じて、連絡と対応の手順を決めておきます。

■ 過去問での着眼点

ダークネットで、送信元がA、送信元ポートが80のSYN/ACKを大量に観測した場合、Aを攻撃先とするSYNフラッド攻撃が起きていると推定できます。攻撃者が送信元を偽装したSYNにAが応答し、その応答がダークネットに届いているためです。