問題 No.6462
ネットワークにおける時刻同期プロトコルであるNTP (Network Time Protocol) の運用およびセキュリティ対策に関する記述として不適切なものはどれか。
【正解の解説】
NTPサーバーはクライアントに対して正確な時刻情報を提供するため、外部からの問い合わせに対して送信元IPアドレスの検証を行わずにすべてのリクエストへ無条件に応答する設定にしておくことがセキュリティ上推奨される。
これは街中で見知らぬ人からの質問に何でも無条件で答えてしまうようなもので、悪意ある攻撃者に悪用される隙を与えます。NTPサーバーは送信元IPアドレスの検証やアクセス制御を行い、信頼できる相手からのリクエストにのみ応答するように設定するのがセキュリティ上の鉄則です。
スポンサーリンク
【その他の選択肢の解説】
NTPサーバーへのDDoS攻撃やアンプ攻撃を防ぐためには、公開を必要としない環境においてバージョン情報や統計情報の外部からの不必要な参照を制限することが有効である。
攻撃者はNTPサーバーのモンサン（monlist）コマンドなどの統計情報を悪用して増幅攻撃を行います。そのため、公開不要な環境ではこれらの情報応答を制限し、攻撃の踏み台にされないように硬化することが実務上非常に重要となります。
NTPの時刻同期において、信頼性の高い複数の上位時刻サーバーを参照し、単一障害点や外部からの偽装された時刻情報の影響を排除するように構成することが望ましい。
学校の時計を合わせるときに、一つの時計だけを信じるのではなく、複数の電波時計を見比べて正しい時間を知るのと同じです。1台だけだと、その時計が狂っていたり攻撃者に操作された場合に誤った時刻に同期してしまうため、複数の情報源を持つことが重要です。
NTPサーバーにアクセス制限を設ける際には、パケットの送信元IPアドレスを偽装したNTPリクエストを用いた踏み台攻撃を防ぐためにアクセス制御リストを適切に設定することが重要である。
これはセキュリティの門番を置くようなもので、信頼できない相手からのリクエストをあらかじめ遮断します。IPアドレスの偽装を用いたDDoSアンプ攻撃の標的にNTPサーバーが利用されるのを防ぐため、不要な外部からのアクセスはしっかりと制限する必要があります。