情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成27年度秋期 午前Ⅱ 問15: 脆弱性検査で，対象ホストに対してポートスキャンを行った。対象ポートの状態を判定する方法のうち，適切なものはどれか。

問題本文

脆弱性検査で，対象ホストに対してポートスキャンを行った。対象ポートの状態を判定する方法のうち，適切なものはどれか。

選択肢

• ア.対象ポートにSYNパケットを送信し，対象ホストから“RST/ACK”パケットを受信するとき，接続要求が許可されたと判定する。
• イ.対象ポートにSYNパケットを送信し，対象ホストから“SYN/ACK”パケットを受信するとき，接続要求が中断又は拒否されたと判定する。
• ウ.対象ポートにUDPパケットを送信し，対象ホストからメッセージ“port unreachable”を受信するとき，対象ポートが閉じていると判定する。
• エ.対象ポートにUDPパケットを送信し，対象ホストからメッセージ“port unreachable”を受信するとき，対象ポートが開いていると判定する。

正解

ウ. 対象ポートにUDPパケットを送信し，対象ホストからメッセージ“port unreachable”を受信するとき，対象ポートが閉じていると判定する。

解説

ポートスキャンでは応答からポートの開閉を推定する。UDPスキャンでは、閉じたポートに送るとICMPの「port unreachable(到達不能)」が返り、開いている場合は応答が無いか上位応答が返る。よって port unreachable 受信で閉じていると判定するウが正しい。TCPではSYNに対するSYN/ACKが開、RST/ACKが閉を示す点と区別する。実務では検査範囲と許可の確認が前提となる。

選択肢ごとの解説

• ア.SYNに対しRST/ACKが返るのは接続拒否すなわち閉ポートで、許可されたとする判定は誤り。
• イ.SYNに対しSYN/ACKが返るのは接続可能(開ポート)で、中断・拒否とする判定は逆で誤り。
• ウ.UDPでport unreachableが返るのは閉ポートを示し、閉じていると判定する点が正解。
• エ.port unreachableは閉を意味するため、開いていると判定するのは逆であり誤り。