観測用センサーが配備されるダークネット｜情報処理安全確保支援士 平成28年 秋期午前Ⅱ試験 問11
出典：平成28年秋期 午前Ⅱ 問11
分野：セキュリティ ／ 情報セキュリティ
マルウェアの活動傾向などを把握するための観測用センサーが配備されるダークネットはどれか。
- ア：インターネット上で到達可能，かつ，未使用のIPアドレス空間
- イ：組織に割り当てられているIPアドレスのうち，コンピュータで使用されているIPアドレス空間
- ウ：通信事業者が他の通信事業者などに貸し出す光ファイバ設備
- エ：マルウェアに狙われた制御システムのネットワーク
TSUNAGARU-ADVICE
まず押さえたいこと
ダークネットは、インターネット上で到達可能でありながら、実際には端末などに割り当てられていない未使用のIPアドレス空間です。本来は正常な通信が届くはずがないため、そこに届く通信を観測することで、マルウェアによるスキャン・感染活動・攻撃傾向などを把握できます。
迷ったときの判断軸
実際に利用中のIPアドレス空間では、通常の業務通信と攻撃通信が混在します。一方、ダークネットは未使用アドレスなので、届いた通信そのものが不審活動の手掛かりになりやすい点が特徴です。到達可能・未使用IPアドレス・観測用センサーという組合せで判断しましょう。
科目Bにつなげるために
科目Bでは、マルウェア感染・ポートスキャン・ボットネット・不審通信・観測ログなどと組み合わせて問われることがあります。ダークネット観測では、単に通信量を見るのではなく、送信元IPアドレス・宛先ポート・通信頻度・時間的な増減などから、どのような攻撃活動が広がっているのかを読み取る視点を持ちましょう。
ダークネットは、インターネット上で到達可能でありながら、実際にはコンピュータなどに割り当てて使用していないIPアドレス空間です。
本来は通信相手が存在しないため、ダークネット宛てに届く通信には、マルウェアによる無差別なスキャンや攻撃活動などが含まれる可能性があります。そこで観測用センサーを設置し、届いた通信を分析することで、マルウェアの活動傾向や攻撃の発生状況を把握できます。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：組織に割り当てられているIPアドレスのうち，コンピュータで使用されているIPアドレス空間
⇒実際にコンピュータが使用しているIPアドレス空間には、通常の業務通信も発生します。ダークネットは、到達可能でありながら未使用のIPアドレス空間を利用します。
ウ：通信事業者が他の通信事業者などに貸し出す光ファイバ設備
⇒これはダークファイバに関する説明です。敷設済みでありながら使用されていない光ファイバなどを指し、マルウェア観測に用いるダークネットとは異なります。
エ：マルウェアに狙われた制御システムのネットワーク
⇒ダークネットは、特定の制御システムのネットワークを意味する用語ではありません。未使用のIPアドレス空間に届く通信を観測することで、幅広い攻撃活動を把握します。