「3ウェイ・ハンドシェイク」を悪用したSYN/ACKリフレクター攻撃を確認(警察庁) | ScanNetSecurity
2024.03.19(火)

「3ウェイ・ハンドシェイク」を悪用したSYN/ACKリフレクター攻撃を確認(警察庁)

警察庁は、レポート「宛先ポート80/TCP を利用したSYN/ACK リフレクター攻撃とみられる観測等について」を「@police」において公開した。

調査・レポート・白書・ガイドライン 調査・ホワイトペーパー
警察庁は12月3日、レポート「宛先ポート80/TCP を利用したSYN/ACK リフレクター攻撃とみられる観測等について」を「@police」において公開した。2018年9月26日頃から、同庁のインターネット定点観測システムにおいて増加を確認しているという。この観測は、SYNパケットを短期間に多数検知したもので、その特徴は、Webサーバ等で使用される80/TCPを宛先ポートとし、発信元が特定の単一IPアドレスまたは同一ネットワーク内とみられる複数のIPアドレスとなっていた。これらはSYN Flood攻撃に関連した観測と考えられるとしている。

9月26日の観測では、米国に割り当てられた特定の単一IPアドレス(23.225.x.x)を発信元とするSYNパケットを約6時間に渡って検知した。また、11月5日の観測では、同一ネットワークに属するとみられる複数のIPアドレスを発信元とするSYNパケットを検知したが、センサー別に検知パケットを確認すると、その発信元は特定の単一IPアドレスとなっていた。さらに、これらSYNパケットは応答型センサーでのみ検知していることが判明した。

今回の観測では、TCPプロトコルにおける「3ウェイ・ハンドシェイク」の仕組みを悪用し、何者かが送信元IPアドレスを偽装したSYNパケットを多数のインターネット上のWebサーバ等の機器に対し送信していたとみている。SYNパケットを受け取ったWebサーバ等の機器は踏み台となり、SYN/ACKパケットを偽装された送信元IPアドレスに送信することになる。これは、偽装された送信元IPアドレスを持つ機器や当該機器が属するネットワークのサービスが不能状態に陥ることを狙ったTCPプロトコルによるSYN/ACKリフレクター攻撃と考えられるとしている。
《吉澤 亨史( Kouji Yoshizawa )》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×