【正解の解説】
NTPサーバーは時刻情報の提供のみを行うため、外部からのNTPリクエストに対する応答速度を無限に許可しておけば、DDoS攻撃の踏み台として悪用されるリスクを防ぐことができる。
これは自宅の玄関の鍵を開けっ放しにして「泥棒は入ってこないはずだ」と信じ込んでいるようなものです。NTPサーバーが無制限に応答を返せる状態にしておくと、攻撃者に悪用されて大量の偽装パケットを標的に送りつける「NTPアンプ攻撃」の踏み台にされてしまいます。したがって、アクセス制限やレートリミットを設けて無制限な応答を防ぐことがセキュリティ上の必須対策となります。
【その他の選択肢の解説】
NTPサーバーにおける時刻同期の精度を向上させるため、上位の階層に位置する公開NTPサーバーへのアクセス頻度を過度に高めても、ネットワークやサーバーに対する負荷上の問題は発生しない。
試験では「過度に高めても問題は発生しない」といった極端な表現や楽観的な記述は、ほぼ間違いなく不正解の選択肢となります。時計の精度を上げたいからといって、特定の公開サーバーへ無制限に問い合わせを送ることは、相手のサーバーに対するDDoS攻撃のような迷惑行為になってしまいます。適切な同期頻度を保つことがネットワーク管理者としてのマナーでありセキュリティ対策です。
NTPリクエストに対する送信元IPアドレスの偽装を防ぐためには、パケットフィルタリングや暗号化された認証機構を組み合わせて不正な時刻修正要求を遮断することが有効である。
NTPはUDPという通信プロトコルを使用するため、送信元IPアドレスが簡単に偽装されてしまう弱点を持っています。見知らぬ相手からの偽装リクエストを鵜呑みにしないよう、ルーターでのアクセス制御やパケットフィルタリングを行い、さらに暗号化されたNTP認証を導入することで、正当なサーバーからの要求だけを正確に見分けて安全に時刻同期を行うことができます。
NTPサービスを安全に運用するためには、バージョン情報の外部流出を防ぐ設定や、不用意な問い合わせに応答しないアクセス制御を適用することが重要な対策となる。
攻撃者はまず脆弱性を探すためにNTPサーバーのバージョン情報を外部からスキャンして特定しようとします。そのため、バージョン情報を隠蔽する設定や、内部ネットワークからの問い合わせだけに絞るアクセス制御を行うことが、不正アクセスや情報漏洩を防ぐための非常に重要で基本的な防御策となります。