TCP/IPモデルと一般的なポート

OSI（Open Systems Interconnection）モデルは、ネットワーク通信を物理、データリンク、ネットワーク、トランスポート、セッション、プレゼンテーション、アプリケーションという7つのレイヤーに分けます。各レイヤーは固有の役割を担い、直接上下に位置するレイヤーとのみ通信します。セキュリティ制御はどのレイヤーにも適用できるため、このモデルを理解すると、特定の攻撃や防御がどこで機能するのかを特定しやすくなります。Please Do Not Throw Sausage Pizza Awayという語呂合わせを使うと、下から上へのレイヤーの順番を思い出せます。

TCP/IPモデル（DoDモデルとも呼ばれます）は、OSIのレイヤーを4つにまとめたものです。ネットワークアクセス（OSIレイヤー1～2）、インターネット（OSIレイヤー3）、トランスポート（OSIレイヤー4）、アプリケーション（OSIレイヤー5～7）で構成されます。実際のネットワーク運用やセキュリティ分析では、TCP/IPの用語が使われることがほとんどです。攻撃や制御がどこで機能するかを説明する際、Security+の試験問題ではどちらのモデルも参照される可能性があるため、両方のモデルの対応関係を理解することが重要です。

IPアドレスは、ネットワーク上のデバイスを一意に識別します。IPv4では32ビットのアドレスをドット付き10進表記（例：192.168.1.10）で記述し、IPv6では128ビットのアドレスを使用します。サブネットマスクによって、アドレスのどの部分がネットワークを識別し、どの部分がホストを識別するかが決まります。CIDR表記（例：/24）は、サブネットマスクを簡潔に表します。セキュリティ担当者は、サブネットを使用してネットワークを分割し、信頼ゾーン間のトラフィックの流れを制限します。

TCPでデータを交換する前に、3ウェイハンドシェイクによって接続を確立します。クライアントがSYNを送信し、サーバーがSYN-ACKで応答し、クライアントがACKを送信して処理を完了します。攻撃者は、ハンドシェイクを完了させずに大量のSYNパケットを送信し、サーバーのリソースを枯渇させるSYNフラッドDoS攻撃によって、このシーケンスを悪用します。通常のハンドシェイクの動作を理解すると、パケットキャプチャやSIEMログの異常を見つけやすくなります。

UDP（User Datagram Protocol）は、最初にセッションを確立せずにパケットを送信するコネクションレス型のトランスポートプロトコルです。確認応答や再送がないため、TCPより高速ですが信頼性は低くなります。DNS、DHCP、NTP、SNMPなどのサービスでは、配信の保証よりも低遅延が重視されるため、UDPが使用されます。セキュリティ上の影響として、UDPを利用した増幅攻撃があります。これは、小さなリクエストによって大容量のレスポンスを生成し、被害者に送り付けて過負荷にする攻撃です。

ウェルノウンポート（0～1023）は、一般的なサービス用に予約され、IANAによって割り当てられています。主要なポート番号を暗記することは、Security+試験対策で不可欠です。ポート22はSSH、ポート443はHTTPS、ポート80はHTTP、ポート25はSMTP、ポート53はDNSです。サービスが使用するポートを把握しておくと、アナリストは正規のトラフィックと攻撃を区別し、正確なファイアウォールルールを作成できます。

登録ポート（1024～49151）は、一貫性のある、ただし特権ポートではないポートを必要とするアプリケーションで使用されます。例として、3389（RDP）、3306（MySQL）、1433（MSSQL）、8080（HTTP代替ポート）があります。動的ポート（エフェメラルポート）（49152～65535）は、クライアント側の接続用にOSが一時的に割り当てます。攻撃者は、ウェルノウンポートだけをブロックするファイアウォールルールを回避するため、高い番号のポートで悪意のあるサービスを実行することがあります。

ICMP（Internet Control Message Protocol）は、診断とエラー通知に使用されます。pingコマンドは、到達可能性を確認するためにICMP Echo Request/Replyを使用します。便利な一方で、ICMPは悪用される可能性があります。pingスイープは稼働中のホストを発見し、ICMPリダイレクトメッセージはルーティングテーブルを操作する可能性があります。また、ステルスチャネルによってICMPペイロード内にデータをトンネル化することもできます。多くの組織では、トラブルシューティングのために内部ではICMPを許可しつつ、境界ではブロックしています。

ARP（Address Resolution Protocol）は、ローカルネットワークセグメント上でIPアドレスをMACアドレスに対応付けます。ホストが192.168.1.1にトラフィックを送信したい場合、ARPリクエストをブロードキャストして「192.168.1.1を持っているのは誰ですか？」と尋ね、該当するホストが自身のMACアドレスを返信します。ARPには認証機能がないため、ARPスプーフィング（ARPポイズニングとも呼ばれます）に対して脆弱です。この攻撃では、攻撃者が偽のARP応答を送信し、トラフィックを自分のマシン経由に変更して中間者攻撃を行います。

DNS（Domain Name System）は、人間が読みやすいホスト名（www.example.com）をIPアドレスに変換します。DNSクエリは階層構造をたどります。クライアントが再帰リゾルバーに問い合わせ、再帰リゾルバーがルートサーバー、TLDサーバー、権威ネームサーバーの順に問い合わせます。セキュリティ上の影響は重大です。DNSキャッシュポイズニングは偽のレコードを挿入し、DNSトンネリングはクエリにデータを埋め込んでデータを持ち出したりC2サーバーに接続したりします。また、タイポスクワッティングは、よく似たドメインを登録してユーザーをフィッシングします。

TCP/IPトラフィックを分析するために不可欠なツールが、WiresharkとNmapです。Wiresharkはパケットアナライザーであり、個々のフレームを調査したり、プロトコルでフィルタリングしたり、TCPストリームを追跡してセッションを再構成したりできます。Nmapはネットワークスキャナーであり、稼働中のホスト、開いているポート、実行中のサービス、OSのバージョンを特定します。両者を組み合わせることで、セキュリティ担当者はネットワーク上を実際に通過しているものを可視化でき、異常の検出や、ファイアウォールルールが意図どおりに機能していることの確認が可能になります。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、OSIモデルとTCP/IPモデルが、セキュリティ制御が動作するネットワーク層を表すこと、ウェルノウンポート（0～1023）が一般的なサービスを識別し、試験のために暗記する必要があること、そしてARP、DNS、ICMPなどのプロトコルには、スプーフィング、キャッシュポイズニング、トンネリングなど、それぞれ固有のセキュリティリスクがあることを学びました。次は、ファイアウォールとネットワークトラフィックのフィルタリングについて学びます。