セキュリティエンジニアに必須となる「ネットワーク」基礎知識 その2

セキュリティエンジニアに必須となるネットワーク基礎知識 その2

トランスポート層

「トランスポート層」は、「ネットワーク層」の上位にある、セキュリティエンジニアにとって極めて重要な層です。トランスポート層の役割は 、主に「転送されるデータの信頼性担保」と「アプリケーションへの振り分け」です。

パソコンから放出された電気信号（データ／パケット：前項参照）が、スイッチングHUB（データリンク層）やルータ（ネットワーク層）を通過していきます。

地球の裏側にあるWebサイトだとしても、素早く表⽰ができるのは、極めて⾼速にデータが⾏き来しているためです。⾼速にデータが⾏き来する間に、何かしらの理由でデータが１つでも破損してしまうと、正確にWebサイトの画⾯が表⽰されなかったり、メールデータが⽋損した場合は本来伝えるべき⾔葉が正しく伝わらない可能性があります。

このような状況を回避するために、トランスポート層（TCPプロトコル）では、データの信頼性を担保するために、シーケンス番号というものを加えます。これによって、データが順番通り届いているかどうかを確認したり、データの途中で⽋損があった場合は、送信元に対して再送を促すことで、データの信頼性を担保します。

3Way Handshake、UDP

なお、データの信頼性を担保するために、送信元（PC端末）から受信先（Webサイトやメールサーバなど）に対して、「接続を開始してもいいですか？（SYN)」と事前に許可を求めます。受信先（Webサイトやメールサーバ等）は「OKです！（ACK）こちらからも接続を開始してもいいですか？（SYN)」と返事をします。その返答を受けて送信元（PC端末）も再度、「OKです！（ACK)」と返事をした上で、データの転送が開始されます。

双⽅で３回の接点があることから、３回握⼿することにちなんで「3Way Handshake（スリーウェイハンドシェイク）」と⾔います。このように、データの信頼性を担保する通信のことを「コネクション型」と呼びます。

加えて、トランスポート層には、データの信頼性を担保しないプロトコルとして「UDP」が存在します。

UDPでは3Way Handshakeを⾏わず、⼀⽅的にデータを送信します。ラジオが⾳声を⼀⽅的に発信し、電波状況が悪いと再送されることがなく、聞き取れなかったらそれ以上聞くことができない、という状況をイメージしていただくとよいでしょう。動画配信や⾳声通話など、データの送受信にスピードを求められる様な場合に使われるプロトコルです。

ポートスキャンによる攻撃のはじまり

使⽤されているサービスのポート番号は公開が必須ですが、これが攻撃者に悪⽤されるケースがあります。攻撃の初期段階で⾏われる「ポートスキャン」では、公開されているポートの有無を⼿当たり次第に探す攻撃⽅法です。

例えば、指定したグローバルアドレスに対するポートスキャン結果として「22番、80番、3389番」が空いているとしましょう。22番はssh。コマンドを使ってリモートアクセスするために利⽤される番号です。80番はWebサイト。3389番はWindowsのリモートデスクトップサービス（RDP)で使⽤されるポートです。22番と3389番に関して、これらのポートが空いているということは、IDとパスワードがわかれば、その先にあるサーバなどにリモートでアクセスできる可能性がある、ということを⽰唆します。

攻撃者は、22番ポートに対して、IDとパスワードを総当たりで試す、ブルートフォース攻撃を仕掛けたり、3389番ポートに対してWindowsのリモート接続を試み、IDとパスワードを⼊⼒したり、Windowsの脆弱性を突いた侵⼊ができるかどうか等を試みます。IDとパスワードが弱かったり、Windowsの脆弱性を残している状態のままだと、侵⼊を許してしまうリスクが跳ね上がります。

そのため、使⽤していないポート番号は基本的に閉じるのが、セキュリティ上極めて重要になります。

DDos攻撃の一種であるSYNフラッド攻撃

また、TCPのスリーウェイハンドシェイクを悪⽤した攻撃として、SYNフラッド攻撃があります。送信元（PC等）から受信先（Webサイトなど）に対して、「接続を開始してもいいですか？（SYN)」と許可を求め、受信先（Webサイトなど）は「OKです！（ACK）こちらからも接続を開始してもいいですか？（SYN）」と返事することは先ほど述べましたが、その返答を返さずに、受信側を待ち状態にし、コネクションの確⽴がなされない状態で、同様に送信元から「接続を開始していいですか？（SYN）」という内容を連続で送り続けることで、メモリ領域をオーバーフローさせ、サービス不能に追いやる攻撃です。

このような攻撃を知るには、OSI参照モデルや、TCP／IPの基本的なスキルがとても重要なことをご理解いただけたのではないでしょうか。