解説

NTPリフレクション攻撃はDRDoS（Distributed Reflection DoS）の一種で、送信元IPアドレスを攻撃対象に偽装してNTPサーバにリクエストを送り、NTPサーバからの大量応答を攻撃対象に浴びせる攻撃。NTPのmonlist（monitor list）コマンドは最近通信した最大600件のクライアントIPアドレスのリストを返すコマンドで、応答データが要求データの数百倍になる増幅効果がある。攻撃者はこの増幅効果を悪用して、少ない帯域で大量のトラフィックを攻撃対象に向けることができる。対策としてNTPDのバージョンアップ（4.2.7p26以降でmonlistがデフォルト無効化）やネットワーク機器でのUDP送信元偽装防止（BCP38）が有効。リフレクション攻撃はNTP以外にもDNS・SSDP・Memcachedなどでも同様に使われる。

なぜ他の選択肢は違うのか

選択肢 ア

NTPサーバに高頻度で時刻を問い合わせるのはNTPサーバ自体へのDDoS攻撃であり、NTPリフレクション攻撃とは異なる。NTPリフレクション攻撃ではNTPサーバは加害者側（反射板）として使われるのであり、NTPサーバ自体が攻撃対象ではない。NTPサーバへの過負荷が副次的に生じることはあるが、主な攻撃対象は送信元偽装に使われた別のIPアドレスの持ち主。

選択肢 イ

NTPサーバの時刻情報を書き換えるのはNTPスプーフィング攻撃（時刻改ざん攻撃）の説明。偽のNTP応答を注入して対象の時計を狂わせることで、TLS証明書の有効期限検証の迂回やKerberos認証の無効化などを狙う攻撃手法であり、ネットワーク帯域の枯渇（DoS）を目的とするNTPリフレクション攻撃とは目的・手法ともに根本的に異なる。

選択肢 ウ

echo request（ICMPエコー要求）を偽装してブロードキャストアドレスに送信し、全ホストからの応答を攻撃対象に集中させるのはSmurfアタックの説明。NTPリフレクション攻撃はICMPではなくUDP/123番ポートのNTPプロトコルを使い、公開NTPサーバを反射板にする点でSmurfとは使用プロトコルと仕組みが異なる。

解くときのポイント

リフレクション・増幅攻撃の特徴: 送信元IP偽装→反射サーバ（DNS/NTP/SSDP等）→攻撃対象に大量トラフィック。NTPのmonlistコマンドはNTPD 4.2.7p26以降でデフォルト無効化。