攻撃者はntpdのmonlistという機能を悪用してDDoS攻撃を行います。monlistとはntpdの状態をリモートで管理するための機能です。 以下のイラストにあるように、問い合わせに対して応答が多いのが特徴です。 cloudflare.comより 実際に問い合わせと応答を実験した方の情報 192byteに対して17160byteの応答をしたそうです。つまり約90倍に増幅されたことになります。理論的には200倍にまで増幅されることがあるため、増幅幅が40倍程度のDNS Amp攻撃よりも高効率です。 NTPリフレクション攻撃対策 試しに以下のコマンドで確かめてみてください。 # ntpdc -c monlist 以下の様な表示なら問い合わせに応答しています。 remote address port local address count m ver rstr avgint lstint =
![NTPを利用したNTPリフレクション攻撃の概略と対策](https://cdn-ak-scissors.b.st-hatena.com/image/square/b401df868326f0c2b739dc8419407b74d7011f95/height=288;version=1;width=512/https%3A%2F%2Foxynotes.com%2Fwp-content%2Fuploads%2Fntp.png)