TCP80番ポートの用途から考えるマルウェアの指令通信
情報セキュリティマネジメント試験 平成31年度春期 午前 問19 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
PCへの侵入に成功したマルウェアがインターネット上の指令サーバと通信を行う場合に，宛先ポートとして使用されるTCPポート番号80に関する記述のうち，適切なものはどれか。
- ア
DNSのゾーン転送に使用されることから，通信がファイアウォールで許可されている可能性が高い。
- イ
WebサイトのHTTPS通信での閲覧に使用されることから，マルウェアと指令サーバとの間の通信が侵入検知システムで検知される可能性が低い。
- ウ
Webサイトの閲覧に使用されることから，通信がファイアウォールで許可されている可能性が高い。
- エ
ドメイン名の名前解決に使用されることから，マルウェアと指令サーバとの間の通信が侵入検知システムで検知される可能性が低い。
会話形式の解説
講師今回は、PCに侵入したマルウェアが外部の指令サーバ、いわゆるC&Cサーバと通信するときに、TCPの80番ポートを使うのはなぜかを考える問題です。まず「80番は何のプロトコルの標準ポートか」を押さえてから、選択肢を見ていきます。
受験者80番はWebのポートだと覚えています。ただ、Webの通信はHTTPSが多いので、80番もHTTPSだったか自信がありません。
講師そこがこの問題の引っかけです。80番は暗号化しないHTTPの標準ポートで、HTTPSの標準ポートは443番です。ですから、80番をHTTPS通信のポートと書いている選択肢は、前半の時点で誤りです。
受験者その選択肢は「暗号化されているから侵入検知システムで検知されにくい」と続いていて、もっともらしく見えました。
講師後半がもっともらしくても、前半のポートの用途が間違っていれば不適切です。それに、暗号化していれば侵入検知システム、つまり不正な通信を見張る仕組みで必ず検知されなくなる、というわけでもありません。
受験者DNSに関する選択肢が二つありました。ゾーン転送と名前解決ですが、どちらも80番とは関係ないですよね。
講師そのとおりです。DNSは通常53番ポートを使います。ゾーン転送は、DNSサーバ同士でドメインの情報を丸ごと複製する管理用の通信で、TCPの53番を使います。サーバ間の管理用の通信なので、常に許可されている通信とも言えません。
受験者名前解決の選択肢は「検知されにくい」が理由でしたが、DNSの通信なら目立たないのではないかとも思いました。
講師DNSの通信も監視やログ取得の対象になるので、その理由づけも成り立ちません。何より、名前解決を80番の用途としている時点で誤りです。
受験者残るのは、Webサイトの閲覧に使われるのでファイアウォールで許可されている可能性が高い、という選択肢ですね。Web閲覧は業務で欠かせないので、外向きの80番の通信は止めにくい、ということでしょうか。
講師はい、それが正解の根拠です。マルウェアは許可されている経路を使うことで、指令サーバとの通信を遮断されないようにします。大量の正規のHTTP通信に紛れ込めば、不正な通信が目立ちにくくなるという利点もあります。
受験者80番はHTTP、443番はHTTPS、53番はDNSと整理して、前半の用途が正しいかを先に確かめればよいのですね。
講師その順で考えると迷いにくくなります。補足すると、80番を使えば必ず外に通るわけではありません。プロキシ経由の通信しか認めないなど、出口の通信を制限する対策をとっている組織もあります。
まとめ
マルウェアが指令サーバとの通信にTCP80番ポートを使う理由を問う問題です。80番はHTTP（Web閲覧）の標準ポートで、Web閲覧は業務に欠かせないため、外向きの80番の通信はファイアウォールで許可されていることが多いです。マルウェアはこの許可された経路を悪用し、正規の通信に紛れ込もうとします。HTTPSは443番、DNSは53番なので、80番の用途をHTTPSやDNSとする選択肢は、後半の理由がもっともらしく見えても誤りです。
解答・解説
正解はウです
この問題のテーマ
マルウェアが指令サーバ（C&Cサーバ）と通信するときに、なぜTCPの80番ポートを使うのかを問う問題です。ポート番号とプロトコルの対応、そしてファイアウォールで許可されやすい通信は何かという理解が問われています。
解き方の考え方
最初に「TCP80番はどのプロトコルの標準ポートか」を確認します。80番はHTTP、つまりWebサイトの閲覧に使われるポートです。そのため、各選択肢が80番の用途を正しく書いているかを見れば、誤りの選択肢を外せます。最後に、残った記述の理由が攻撃者の狙いと合っているかを確かめます。
選択肢ごとの解説
- ×ア DNSのゾーン転送に使用されることから，通信がファイアウォールで許可されている可能性が高い。DNSのゾーン転送を80番の用途とする説明は誤りです。ゾーン転送はTCPの53番ポートを使い、80番とは関係がありません。また、ゾーン転送はDNSサーバ間で行う管理用の通信なので、常に許可されている通信とも言えません。
- ×イ WebサイトのHTTPS通信での閲覧に使用されることから，マルウェアと指令サーバとの間の通信が侵入検知システムで検知される可能性が低い。80番をHTTPS通信のポートとする説明は誤りです。HTTPSの標準ポートは443番で、80番は暗号化しないHTTPに使われます。さらに、暗号化しているからといって侵入検知システムで必ず検知されなくなるわけではありません。
- ○ウ Webサイトの閲覧に使用されることから，通信がファイアウォールで許可されている可能性が高い。80番をWebサイトの閲覧に使うという説明は正しいです。Web閲覧は日常の業務で欠かせないため、内部から外部へ向かう80番の通信はファイアウォールで許可されていることが多くあります。マルウェアはこの許可された経路を使うことで、指令サーバとの通信を遮断されずに行おうとします。
- ×エ ドメイン名の名前解決に使用されることから，マルウェアと指令サーバとの間の通信が侵入検知システムで検知される可能性が低い。ドメイン名の名前解決を80番の用途とする説明は誤りです。名前解決はDNSの役割で、通常は53番ポートを使います。DNSの通信も監視やログ取得の対象になるため、検知されにくいという理由づけも成り立ちません。
補足
この問題では、「HTTPとHTTPS」や「DNSのポートとWebのポート」の取り違えがよく狙われます。選択肢の後半の理由がもっともらしく見えても、前半にあるポートの用途が間違っていれば不適切と判断できます。なお、80番を使えば必ず外に通るわけではありません。プロキシ経由の通信しか認めないなど、出口の通信を制限する対策をとっている組織もあります。
POINT
- TCP80番はHTTP（Web閲覧）、443番はHTTPS、53番はDNSの標準ポートです。
- Web閲覧は日常的に行われるため、外向きの80番や443番の通信はファイアウォールで許可されていることが多いです。
- マルウェアは、許可されている通信経路を悪用して指令サーバと通信しようとします。
- 大量の正規のHTTP通信に紛れ込ませることで、不正な通信が目立ちにくくなります。