解説

観測されたパケットの特徴を分析する：送信元IPアドレス=A・送信元ポート=80/tcp・宛先=未使用IPアドレスのSYN/ACKが大量に観測されている。TCPの3ウェイハンドシェイクでは SYN に対して SYN/ACK が返される。つまり「未使用IPアドレスに対してSYNが送られ、そのSYN/ACKが送信元IP=Aに届いている」という状況。攻撃者が送信元IPをAに偽装（IPスプーフィング）してSYNパケットを多数の未使用IPアドレスに送信すると、それらのIPアドレスがSYN/ACKをAに返す。これがIPスプーフィングを利用したリフレクション型SYN攻撃（Aに対するDoS）。送信元ポート80/tcpは攻撃者がWebサーバを装っているように見せかけるための偽装。この攻撃ではIPアドレスAが被害者（攻撃先）。未使用IPアドレスは実際には到達不能なため、ダークネット（未使用IPアドレス空間）への通信として観測される。

なぜ他の選択肢は違うのか

選択肢 イ

パスワードリスト攻撃はHTTP・SSH・RDP等の認証サービスに対して事前収集したパスワードリストを使ったブルートフォース。SYN/ACKパケットの大量観測とは全く関係がない攻撃。認証に対する攻撃とTCPプロトコルレベルのDoS攻撃を混同した誤った選択肢であり、ネットワーク層の観測から推定できる攻撃ではない。

選択肢 ウ

IPアドレスAを攻撃元とするDoS攻撃であれば、AがSYNパケットを大量送信する側になるため、ネットワーク上で観測されるのは「SYN」パケットの大量送信であり、SYN/ACKではない。SYN/ACKが観測されているということはAがSYNを受けた側（応答を返す側）ではなくSYN/ACKの受信先（偽装された送信元）であることを示す。

選択肢 エ

IPアドレスAが攻撃元のパスワードリスト攻撃であれば観測されるのはHTTP・SSHの認証試行パケットであり、ポート80からのSYN/ACKではない。また観測されたSYN/ACKの宛先が未使用IPアドレスである点から、パスワードリスト攻撃という解釈は成立しない。SYN/ACKはTCPハンドシェイクの応答パケットであり認証攻撃とは無関係。

解くときのポイント

「SYN/ACKが未使用IPへ向かっている」→「SYNの送信元がIPアドレス偽装されている」→「偽装された送信元（=A）に応答が集まる」という反射型DoS攻撃の仕組みを理解する。