具体的なDoS攻撃対策でのファイアウォール設定に関するネットワークスペシャリスト試験

 了解しました ✅

ご要望に基づき、「具体的なDoS攻撃対策でのファイアウォール設定」 をテーマとした 午後Ⅱ形式問題（シナリオ形式＋設問形式）10問 を作成しました。実際の試験を想定し、システム構成図やログ例・パケットキャプチャに触れるような流れにしています。

---

午後Ⅱ形式問題（DoS攻撃対策とファイアウォール設定）

---

■ 問題1

あなたの組織のWebサーバ（公開HTTPサービス、TCP/80）は、外部からのアクセス増大により断続的に応答できなくなっている。調査の結果、SYN Flood攻撃であることが判明した。

ファイアウォールで行うべき適切な対策を答えよ。

---

■ 問題2

ファイアウォールのログにおいて、同一送信元IPから1秒間に数千件のICMP Echo Requestが観測された。この場合に有効なファイアウォールの設定を挙げよ。

---

■ 問題3

DNSリフレクタ攻撃を受けており、UDP/53への大量の応答パケットが被害サーバに流入している。ファイアウォールでの防御策を挙げよ。

---

■ 問題4

UDP Flood攻撃が疑われる場合、ファイアウォールで用いるべき レート制限 の設定方法について説明せよ。

---

■ 問題5

内部LANからインターネットへの通信を許可する際、IPスプーフィング対策を行う必要がある。ファイアウォールの観点から、送信元IPアドレスの検証に関する具体的な設定を述べよ。

---

■ 問題6

WebサーバはTCP/80とTCP/443のみ利用している。ファイアウォールでポート制御を行う際、どのような設定がDoS攻撃のリスク低減に有効か答えよ。

---

■ 問題7

ファイアウォールログに、外部からのTCPコネクション確立要求（SYNパケット）が急増している。この状況を軽減するための SYNクッキー方式 とファイアウォールの関係を説明せよ。

---

■ 問題8

ある攻撃者は、ICMP Redirectメッセージを大量に送りつけ、ルーティング混乱を誘発しようとしている。この場合にファイアウォールで設定すべきフィルタ内容を答えよ。

---

■ 問題9

企業ネットワークにおいて、内部の正規ユーザが大量のHTTPリクエストを誤って送信し、外部サービスにDoS攻撃のような影響を与えた。このような内部発信の異常トラフィックをファイアウォールで制御する方法を説明せよ。

---

■ 問題10

DDoS攻撃対策として、ファイアウォール単体では限界がある。これを補完するための上位機器や仕組みと、それとファイアウォールの連携方法について説明せよ。

---

解答の方向性（例）

問1 → SYNパケットのレート制限、SYNクッキーとの併用、半開接続数の制御

問2 → ICMPレート制御、特定ICMPタイプのフィルタリング

問3 → UDP/53へのトラフィック制限、不要なオープンリゾルバからの通信遮断

問4 → firewall-cmd / iptables による --limit オプションなどの活用

問5 → 送信元アドレス検証（uRPF, スプーフィング防止ACL）

問6 → 最小限のポート許可（80/443以外は遮断）

問7 → SYNクッキーはOS側機能、ファイアウォールで同時接続数制限

問8 → ICMP Redirectの受信拒否設定

問9 → 内部向けアウトバウンドレート制限、HTTPリクエスト制御

問10 → IPS/IDSやDDoS防御装置（スクラビングサービス）とファイアウォール連携

---

解答例

■ 問題1（SYN Flood対策）

解答：ファイアウォールでSYNパケットのレート制限、半開接続数の制御、またはSYNクッキー機能と連携。

キーワード：connection-limit、SYNクッキー、iptables --syn --limit

---

■ 問題2（ICMP Flood）

解答：ICMP Echo Requestのレート制御やフィルタリングを設定する。特に「1秒あたりの許可パケット数」を制御する。

キーワード：icmp echo-request rate-limit、iptables -m limit

---

■ 問題3（DNSリフレクタ攻撃）

解答：外部から内部への不要なUDP/53パケットをフィルタ、またはレート制御。内部のDNSサーバのみ通信を許可。

キーワード：dns udp/53 acl、unbound access-control

---

■ 問題4（UDP Flood対策）

解答：ファイアウォールでUDPポートごとに通信レート制限。大量パケットをドロップする。

キーワード：iptables -A INPUT -p udp --dport 53 -m limit

---

■ 問題5（IPスプーフィング防止）

解答：送信元IPアドレスの正当性を検証（uRPFやACLで内部IPを外部インターフェースから拒否）。

キーワード：uRPF、bogon filter、anti-spoofing ACL

---

■ 問題6（ポート制御）

解答：必要なポート（80, 443）のみ許可し、それ以外はすべて拒否。

キーワード：最小権限の原則、default deny

---

■ 問題7（SYNクッキー）

解答：SYNクッキーはサーバOS側機能だが、ファイアウォールで同時接続数や新規SYNのレート制限を設定し、負荷を軽減できる。

キーワード：synproxy、connlimit

---

■ 問題8（ICMP Redirect攻撃）

解答：外部からのICMP Redirectをすべてブロックする。内部ネットワークで利用する必要がないため。

キーワード：icmp type redirect drop

---

■ 問題9（内部発信の異常トラフィック）

解答：内部から外部へのHTTPリクエストレート制限。ファイアウォールで送信数を制御し、異常を検知して遮断。

キーワード：egress filter、outbound rate limit

---

■ 問題10（ファイアウォール単体の限界）

解答：IPSやDDoS防御装置（スクラビングセンター、CDN等）と連携。ファイアウォールでは入口制御、上位装置で大規模攻撃の緩和。

キーワード：DDoS mitigation service、IPS/IDS、CDN

---

まとめ

基本方針：必要最小限のポート開放、レート制御、uRPFやACLによるスプーフィング対策。

重要対策：SYNクッキー、ICMP制御、DNS/UDP制御、ログ監視。

限界点：ファイアウォール単体では大規模DDoSは防げないため、上位装置やクラウドサービスと組み合わせる。