解説

ファイアウォールのログに「送信元IPアドレス：A、送信元ポート：80、宛先：未使用IPアドレス」のSYN/ACKパケットが大量に記録されている場合、これはIPアドレスAへのサービス妨害攻撃（SYN Flood攻撃の反射型）を示しています。攻撃者は宛先IPアドレスを存在しない（未使用の）IPアドレスに偽装してSYNパケットをポート80（HTTPサーバ）のIPアドレスAに送信します。するとAはSYN/ACKを返しますが、偽装アドレスへのため応答が返ってこず、大量の半開きセッションが蓄積します。これによりAのリソースが枯渇します。送信元ポートが80（HTTP）なのはAがWebサーバである証拠です。SYN/ACKはSYNに対する応答であり、Aが大量のSYNを受け取ってSYN/ACKを返していることを示します。

なぜ他の選択肢は違うのか

選択肢 イ

パスワードリスト攻撃はHTTPポートへの大量SYN/ACKとは無関係です。パスワードリスト攻撃は認証ページへのログイン試行で、HTTP POSTリクエストによる認証要求が特徴です。SYN/ACKパケットの大量観測はネットワーク層・トランスポート層の攻撃を示します。

選択肢 ウ

AがSYN/ACKを送信しているということは、AがSYNを受け取ってそれに応答しているということです。つまりAは被害者（攻撃先）です。攻撃元であればAからSYNが大量に送出されるはずで、SYN/ACKを大量送信しているのは受動的な応答の結果です。

選択肢 エ

選択肢cと同様、SYN/ACKを大量に送っているAは攻撃元ではなく攻撃先です。また、パスワードリスト攻撃とSYN/ACKの大量観測は関連しません。送信元ポート80はWebサーバとしての応答であり、攻撃者が何らかの手段でAにSYNを大量送信していることを示しています。

解くときのポイント

SYN/ACKを大量に返しているホストは攻撃の被害者。攻撃元は偽装した送信元でSYNを送っている。ポート80はHTTPサーバ（受信側）の証。