ポートスキャンの判定｜科目A-1 令和7年 秋期午前試験 問43
出典：令和7年秋期 午前 問43
分野：セキュリティ ／ 情報セキュリティ対策
脆弱性検査で，ホストに対してポートスキャンを行う。スキャンしたポートの状態を判定する方法のうち，適切なものはどれか。
- ア：ポートにSYNパケットを送信して"RST/ACK"パケットを受信したとき，接続要求が許可されたと判定する。
- イ：ポートにSYNパケットを送信して"SYN/ACK"パケットを受信したとき，接続要求が中断又は拒否されたと判定する。
- ウ：ポートにUDPパケットを送信してメッセージ"ICMP port unreachable"を受信したとき，対象ポートが閉じていると判定する。
- エ：ポートにUDPパケットを送信してメッセージ"ICMP port unreachable"を受信したとき，対象ポートが開いていると判定する。
TSUNAGARU-ADVICE
まず押さえたいこと
ポートスキャンでは、送ったパケットに対する応答から、ポートが開いているか閉じているかを推定します。TCPではSYNに対してSYN/ACKが返れば接続可能、RST/ACKが返れば拒否と判断します。UDPでは、ICMP port unreachableが返ると対象ポートは閉じていると判断します。
迷ったときの判断軸
SYN/ACKは接続を受け入れる応答、RST/ACKは接続拒否の応答です。UDPはTCPのような接続確立がないため、応答がないだけでは開いていると断定しにくい点に注意します。「ICMP port unreachable」は、宛先ポートに到達できないという意味なので、閉じていると切り分けましょう。
科目Bにつなげるために
特に情報処理安全確保支援士試験合格を目指す方は、ポートスキャンを単なる攻撃手法ではなく、脆弱性診断や侵入調査で通信応答を読み解く基本として理解しておくと有効です。ログ分析やファイアウォール設定確認では、SYN/ACK・RST/ACK・ICMP応答の意味を判断する力につながります。
ポートスキャンでは、対象ホストの各ポートにパケットを送信し、その応答からポートが開いているか閉じているかを推定します。
UDPの場合、対象ポートが閉じていると、ホストは通常、ICMPの"port unreachable"メッセージを返します。これは、そのUDPポートで受信できるアプリケーションが存在しないことを示します。
したがって、UDPパケットを送信して"ICMP port unreachable"を受信した場合、対象ポートは閉じていると判定できます。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：ポートにSYNパケットを送信して"RST/ACK"パケットを受信したとき，接続要求が許可されたと判定する。
⇒TCPのSYNスキャンでは、SYNに対してRST/ACKが返る場合、接続要求は拒否された、つまりポートが閉じていると判定します。接続要求が許可された場合は、通常SYN/ACKが返ります。
イ：ポートにSYNパケットを送信して"SYN/ACK"パケットを受信したとき，接続要求が中断又は拒否されたと判定する。
⇒SYN/ACKは、TCPの3ウェイハンドシェイクにおいて接続要求を受け付けたことを示す応答です。したがって、対象ポートが開いていると判定します。中断又は拒否を示す応答ではありません。
エ：ポートにUDPパケットを送信してメッセージ"ICMP port unreachable"を受信したとき，対象ポートが開いていると判定する。
⇒"ICMP port unreachable"は、宛先ポートに到達できないことを示すメッセージです。UDPポートスキャンでは、この応答を受け取った場合、対象ポートは閉じていると判定します。