NTP monlist機能の無効化によるDDoSアンプ攻撃(増幅攻撃)対策

NTPを用いた増幅型DDoS攻撃(NTPリフレクションアンプ攻撃)は、攻撃者が送信元IPアドレスを攻撃対象のIPに偽装し、NTPサーバに対して monlist コマンド(過去に通信した最大600件のホストリストを返す保守機能)のリクエストを送信することで実行されます。小さな要求パケットに対して数十倍から数百倍の大量の応答パケットが標的に向けて送信され、帯域を圧迫します。この踏み台化を防止する根本対策は、NTPサーバの設定( ntp.conf )で monlist機能を無効化(`disable monitor`) することです。したがって、正解は ア です。 イ: 自ネットワーク外の上位NTPサーバへの問合せを制限しても、外部から自サーバへの不正リクエストによる増幅攻撃は防御できません。 ウ: ブロードキャストアドレス宛てのパケット遮断は「Smurf攻撃」等の対策であり、ユニキャストUDPで送られるNTPアンプ攻撃の対策にはなりません。 エ: 外部からのUDPポート123(NTP)へのアクセスを許可したままでは、monlistを用いた攻撃要求を遮断できません。

NTP を使った増幅型の DDoS 攻撃に対して,NTP サーバが踏み台にされることを防止する対策の一つとして,適切なものはどれか。

出典令和6年度 秋期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問16
ア
NTP サーバの設定変更によって,NTP サーバの状態確認機能(monlist)を無効にする。
イ
NTP サーバの設定変更によって,自ネットワーク外の NTP サーバへの時刻問合せができないようにする。
ウ
ファイアウォールの設定変更によって,NTP サーバが存在するネットワークのブロードキャストアドレス宛てのパケットを拒否する。
エ
ファイアウォールの設定変更によって,自ネットワーク外からの UDP サービスへのアクセスは NTP サーバへのアクセスだけを許す。