TCP80番がマルウェアの指令通信に使われる理由
情報セキュリティマネジメント試験 2022年 サンプル問題 問15 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
PCへの侵入に成功したマルウェアがインターネット上の指令サーバと通信を行う場合に，宛先ポートとして使用されるTCPポート番号80に関する記述のうち，適切なものはどれか。
- ア
DNSのゾーン転送に使用されることから，通信がファイアウォールで許可されている可能性が高い。
- イ
WebサイトのHTTPS通信での閲覧に使用されることから，マルウェアと指令サーバとの間の通信が侵入検知システムで検知される可能性が低い。
- ウ
Webサイトの閲覧に使用されることから，通信がファイアウォールで許可されている可能性が高い。
- エ
ドメイン名の名前解決に使用されることから，マルウェアと指令サーバとの間の通信が侵入検知システムで検知される可能性が低い。
会話形式の解説
講師今回は、PCに入り込んだマルウェアが指令サーバと通信するとき、宛先にTCPの80番ポートを使う理由を問う問題です。指令サーバは、攻撃者がマルウェアに命令を送るためのサーバのことで、C&Cサーバとも呼ばれます。注目点は、各選択肢が80番の用途をどう説明しているかです。
受験者選択肢には「ファイアウォールで許可されている」と「侵入検知システムで検知されにくい」の二通りの結論があって、どちらもありそうに見えて迷いました。
講師結論より先に、前提の用途を確かめるのがコツです。TCP80番はどのプロトコルの標準ポートか覚えていますか。
受験者HTTPです。Webサイトの閲覧に使うポートだったと思います。
講師そのとおりです。では、HTTPSで閲覧するときのポートとして80番を挙げている選択肢はどうでしょう。
受験者HTTPSは暗号化した通信で、標準ポートは443番です。80番は暗号化しないHTTPなので、HTTPSの説明は誤りだと思います。
講師よく整理できています。HTTPSを挙げた選択肢は、ポートとプロトコルの対応が間違っているので選べません。残りの二つにはDNSが出てきます。DNSはドメイン名をIPアドレスに変換する仕組みです。
受験者DNSは53番ですよね。ゾーン転送と名前解決で何か違いがあった気がします。
講師名前解決の問合せは主にUDPの53番、DNSサーバ間でゾーン情報をまとめて複製するゾーン転送はTCPの53番です。どちらも80番ではないので、ゾーン転送を挙げた選択肢も、名前解決を挙げた選択肢も、前提から誤りです。
受験者そうすると、Webサイトの閲覧に使うからファイアウォールで許可されている可能性が高い、という選択肢が残ります。業務でWebを見るために、社内から外への80番の通信は通しているということですね。
講師そうです。多くの組織では、Web閲覧用の外向き通信をファイアウォールで許可しています。マルウェアはこの許可された経路を悪用して、指令サーバとの通信を通そうとします。これが正解の根拠です。
受験者誤りの二つは、用途が違うのに「検知されにくい」というそれらしい結論が付いていたので、引っかかりそうになりました。
講師そこが典型的な引っかけです。実際、80番の通信は量が多いので、不正な通信がふつうのWeb通信に紛れて目立ちにくいという面はあります。ただ、この問題で根拠になるのはファイアウォールで許可されているという点です。ポート番号の問題では、まず用途とポート番号の組合せが正しいかを確かめると、誤りの選択肢を効率よく外せます。
まとめ
マルウェアが指令サーバ（C&Cサーバ）との通信にTCP80番を使うのは、80番がWeb閲覧（HTTP）の標準ポートで、多くの組織がファイアウォールで外向き通信を許可しているからです。HTTPSは443番、DNSの名前解決は主にUDPの53番、ゾーン転送はTCPの53番なので、これらを80番の用途とする選択肢は誤りです。「侵入検知システムで検知されにくい」という結論はそれらしく見えますが、前提の用途が間違っています。ポート番号の問題では、まず用途とポートの組合せを確かめるのが近道です。
解答・解説
正解はウです
この問題のテーマ
マルウェアが指令サーバ（C&Cサーバ）と通信するとき、なぜTCPの80番ポートが宛先に選ばれやすいのかを問う問題です。ポート番号と、そのポートを使うサービスの対応関係を正しく覚えているかが問われています。
解き方の考え方
まず、TCP80番がHTTPの標準ポートだという基本を思い出します。次に、各選択肢が80番の用途をどう書いているかを確かめます。DNS（53番）やHTTPS（443番）のように、80番ではない用途を挙げている選択肢は、その時点で誤りと分かります。残った選択肢について、Web閲覧用の通信は社内からの外向き通信としてファイアウォールで許可されていることが多い、という観点から妥当かどうかを判断します。
選択肢ごとの解説
- ×ア DNSのゾーン転送に使用されることから，通信がファイアウォールで許可されている可能性が高い。DNSのゾーン転送が80番を使うという説明は誤りです。ゾーン転送にはTCPの53番が使われます。80番の用途の説明が前提から間違っているので、選べません。
- ×イ WebサイトのHTTPS通信での閲覧に使用されることから，マルウェアと指令サーバとの間の通信が侵入検知システムで検知される可能性が低い。HTTPS通信で閲覧するときのポートとして80番を挙げていますが、HTTPSの標準ポートは443番です。80番は暗号化しないHTTPで使われます。ポートとプロトコルの対応が誤っています。
- ○ウ Webサイトの閲覧に使用されることから，通信がファイアウォールで許可されている可能性が高い。80番はWebサイトの閲覧（HTTP）に使われる標準ポートです。業務でWebを見るために、多くの組織ではこのポートへの外向き通信をファイアウォールで許可しています。マルウェアはこの許可された経路を悪用して指令サーバと通信しようとするので、記述は適切です。
- ×エ ドメイン名の名前解決に使用されることから，マルウェアと指令サーバとの間の通信が侵入検知システムで検知される可能性が低い。ドメイン名の名前解決に80番を使うという説明は誤りです。名前解決（DNSの問合せ）には主にUDPの53番が使われます。用途の対応が間違っているので、選べません。
補足
80番の通信は量が多いため、不正な通信がふつうのWeb通信に紛れて目立ちにくくなるという面もあります。ただし、この問題で正解の根拠になっているのは「ファイアウォールで許可されている可能性が高い」という点です。イやエのように「検知されにくい」という、それらしい結論を付けて誤ったポートの用途と組み合わせるのは典型的な引っかけなので、前提の用途から確認する習慣をつけましょう。
POINT
- TCP80番はHTTP、443番はHTTPS、53番はDNS（名前解決は主にUDP、ゾーン転送はTCP）の標準ポートです。
- Web閲覧用のポートは業務に欠かせないため、ファイアウォールで外向き通信が許可されていることが多いです。
- マルウェアは許可されている通信経路を悪用して、指令サーバとの通信を通そうとします。
- ポート番号の問題では、選択肢が挙げる用途とポート番号の組合せが正しいかをまず確かめると、誤りの選択肢を効率よく外せます。