情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

M君は、無線LANのパケットをキャプチャしたところ、6台のPCが、（d）リクエストをブロードキャストで送信して、同一セグメント内のPCを探索していることを確認した。
↓
d=ARP
が解答になっています。
私は、ECHOリクエストが答えだと思いました。

これについて以下のどちらの解釈が正しいでしょうか？
[解釈]
1.ECHO(PING)リクエストでも稼働中のホストPCを探索することができるが、ブロードキャスト宛てのPINGは拒否している場合が多いため有効ではない。そのためARPが答えである。

2.DHCPを導入しているため、ホストに対応したIPアドレスは変動する。
そのためにECHOリクエストではなく、ARPを使用するのが正しい。

この投稿は投稿者により削除されました。(2022.03.23 14:38)

この投稿は投稿者により削除されました。(2022.03.23 14:49)

この投稿は投稿者により削除されました。(2022.03.23 14:49)

結局、pingの場合、気配斬りじゃないけど、そこにいるのはわかるがお前は誰だ？って状態じゃないですか。MACアドレスがわからないから。
それだったら、ひたすらARPリクエスト飛ばしますよね。同一セグメントに感染させるにはレイヤ2（だからL2SWで繋がっている）の通信でよくて、それにはMACアドレスがわかればいい・・・となれば、ほしい目的はMACアドレスだろ？ってので、ARPが答えになるんじゃないですか（久々にこの問題見たので、今の解釈はこんな感じです）。
>DHCPを導入しているため、ホストに対応したIPアドレスは変動する
>そのためにECHOリクエストではなく、ARPを使用するのが正しい。
結局変動してもARPリクエストやpingを1つずつずらしてひたすら飛ばしたら使われているIPアドレス自体はわかるから、
そこが重要ではないと思いはします。
RARPサーバがないから引っこ抜いたMACアドレスからRARPでは逆引きできないですが・・・。

そのセグメントが仮に192.168.1.0/24として、
をしてから
をするとARPテーブルがごっそり書き換えられたりはします。まあ、問題文を見る限り、そんなことはしてないんですけどね。

>そのセグメントが仮に192.168.1.0/24として、
>ping 192.168.1.255
>をしてから
>arp -a
>をするとARPテーブルがごっそり書き換えられたりはします。

横から失礼します。

ARPの情報が書き換わるのは、GARPの受信と自信が送出したARPリクエストに対するリプライを受け取った場合です。
キャプチャーすればわかりますが、指定ブロードキャストのPingの宛先が同一セグメント内の場合、L2の宛先にff-ff-ff-ff-ff-ffをセットするのでARPを送出しません。

この投稿は投稿者により削除されました。(2022.03.23 20:23)

>ARPの情報が書き換わるのは、GARPの受信と自信が送出したARPリクエストに対するリプライを受け取った場合です。
>キャプチャーすればわかりますが、指定ブロードキャストのPingの宛先が同一セグメント内の場合、L2の宛先にff-ff-ff-ff-ff-ffをセットするのでARPを送出しません。

ご説明ありがとうございます。
昔、それでARPリストが書き変わるって言ってた記事を見た記憶があるんですが、その記事の前提条件はよくわかりません。
ARPリクエストを選んだ解釈は、hisashiさんはなにかありますか？

私は解釈1に近いです。
ガルガルさんのおっしゃるとおり指定ブロードキャストに応答する機器は、
非常に少ないです。対象がPCならなおさらのことで、ブロードキャストのechoリクエストは、探索には不向きです。それと、前述のとおりARPの情報も取得できないので、あまり意味がないと思います。

（聞かれていないですが）私は、シンプルに
「ECHO」リクエスト：なんでICMPを省略するのだろうという違和感
「ARP」リクエスト：違和感なし
→「ARP」を選択

横から失礼します。

JPERT/CCよりICMP ECHOリクエスト ブロードキャストには応答しないほうが
良いというガイドラインがでております。

又、ICMP ECHOリクエスト ブロードキャストはSmurf攻撃で用いられる手法であり、
本問の環境ではIDS機能をもつNSMセンサに補足される可能性が大きいです。

この投稿は投稿者により削除されました。(2022.03.23 22:37)

たしかにICMP Echo broadcastはNSMセンサにかかりにいくようなものでしたね。

鋭い指摘ありがとうございます。

本環境でしたら、ぎりぎりNSMに補足されるかされないか判断は難しいです。
ですが、同一セグメント内にIDSがある環境でしたら、確実に補足対象に
なると思われます。
故にマルウェアが隠密でPCを探索する目的であれば、補足リスクの
高いECHOよりARPの方が目標の遂行に適していると思われます。

消してしまった質問（後で考えたらなんかアホなこと聞いちゃったかと思って消してしまった）

私も、同一セグメント内にIDSがある環境でしたら、確実に捕捉されるからやらないかな、とは思ったんですが、今回はL3SWにくっついてるから、一瞬そっちまで届くかな？とか思って聞いてみました。ご回答ありがとうございます。ARPのほうがリスクが少ないですね、やはり。

ARPのほうがばれるリスクが少ないから、ARPが正答である
って完全に犯罪者の観点じゃないですか
そういう試験じゃないと思うのですが....

まあIPAで記述式だったらこんな回答はまず求めてないでしょうけど、
SmurfのくだりでICMP Echo Broadcastが捕捉されやすいという話があって、もしかしたら本件のネットワーク構成ではNSMには届かないかもしれない、しかし一般的にはリスキーだから使わないか
で話を止めただけで、リスキーだからARPが正答だ、とまでは行き着かないんじゃないですか。本筋ではないからです。
2択で言っているようなもんじゃないか、と言われれば、そうなんですが。

完全に犯罪者の観点がIPAでは求められていないか？というと、たまに
令和元年秋PM2問1の設問1（1）みたいに「この処理をしないと攻撃者の意図に反してどういうことが起こるか？」みたいな記述もあるにはあるので、これに限らず犯罪者の観点も考えないわけではなく、相手だったらどう動くだろう？みたいなことは問題文を読みながら考えたりはしますね。それが問題の設問として要求されるかはまた別の話ですが・・・。

皆様ご回答ありがとうございます。
頂いた内容を自分なりにかみ砕きつつ問題文を再度読み返しております。
そのため返事はもう少し後になるかと思います・・・・

前回、ブロードキャストでない理由は述べましたが、ARPが回答になる明確な理由は書いてないので、思ったことを記します。
ARPリクエストでの探索を検知したのは、（a)スキャンの試行の結果だと思います。(a)のスキャンでは、IPアドレス範囲の最後までスキャンが完了した場合、5分間待機した後、IPアドレス範囲の先頭からスキャンを繰り返すとあるので、この時点でブロードキャストの可能性はなくなります。

ARPキャッシュに存在しないIPアドレスに対しては、SYNパケット送出の前に必ず、ARPリクエストが走ります。
それを5分間隔で実施していることとDHCPのリース期間を考慮し、定期的にARPリクエストが無線を飛び交ったと予想されます。

これによるARPリクエストをキャプチャして、今回の問題を発見したという経緯かと思います。