ネットワークセキュリティにおけるXmasスキャン（クリスマス攻撃）とは？仕組み・コマンド・他スキャンとの違いを解説

ネットワークセキュリティの分野では、さまざまなポートスキャン手法が知られています。その中でも「Xmasスキャン（クリスマススキャン）」は、TCPパケットのフラグ操作を利用した独特な手法として有名です。この記事では、Xmas攻撃の基本的な仕組みから、Nmapを使った実行方法、NULLスキャンやFINスキャンとの違いまで、初心者にもわかりやすく解説します。

Xmas攻撃（クリスマス攻撃）とは？

Xmas攻撃とは、標的となるデバイスに対して、通常とは異なる形式のTCPパケットを送信し、そのシステムに関する情報を不正に取得しようとする攻撃手法です。使用される「クリスマスツリーパケット」は、複数のTCPフラグが同時に設定されていることからその名が付きました。このパケットは「ランプテストセグメント」とも呼ばれ、「カミカゼパケット」という別名を持つこともあります。

Xmasスキャンの仕組みと動作

Xmasスキャン（オプション：-sX）では、TCPヘッダー内のFIN、PSH、URGの3つのフラグを設定します。複数のフラグが点灯したパケットの見た目が、電飾で飾られたクリスマスツリーを連想させることから、この名称が定着しました。

類似のスキャンタイプとの間で細かい挙動の違いはありますが、プローブパケットに設定されるTCPフラグが果たす役割自体は、いずれのスキャンでも共通しています。

NmapにおけるXmasスキャンの役割

代表的なスキャンツールであるNmapは、Xmasパケットへの応答を分析することで、応答したデバイスの性質を特定します。OS（オペレーティングシステム）やネットワーク機器の種類によって、Xmasパケットへの反応パターンが異なるため、これを利用して以下の情報を推測できます。

• 対象ホストで稼働しているOSの種類
• ポートの開閉状態
• その他のローカル環境に関する情報

Xmasスキャン・NULLスキャン・FINスキャンの違い

この3つのスキャンはよく比較されますが、それぞれ以下のような特徴があります。

• FINスキャン： FINフラグのみを設定したパケットを送信します。受信側の応答特性には、Xmasスキャンと同様の制限があります。
• NULLスキャン： XmasスキャンやFINスキャンと似た挙動を示しますが、最大の違いはフラグを一切設定しないパケットを送信する点です。
• Xmasスキャン： FIN・PSH・URGの3つのフラグをすべて設定したパケットを使用します。

なぜ「Xmasスキャン」と呼ばれるのか

前述のとおり、クリスマスツリーのように多数のフラグを立てたパケットを扱うことが名称の由来です。このスキャンでは、TCPヘッダーのPSH・URG・FINの各フラグが意図的に操作されます。その結果、Xmasスキャンは「どのデバイスが待ち受け（リッスン）状態にあるか」を判別するために、特定のシステムへ特殊なパケットを送信します。

Xmasスキャンの用途と目的

TCP Xmasスキャンは、標的マシンのポートが閉じているかどうかを診断する目的で使用されます。具体的には、すべてのヘッダーフラグを設定したTCPセグメントを送信し、RFC 793の規格に沿わない「不正なパケット」を意図的に生成させ、その応答からポートの状態を読み取ります。

TCPクリスマスツリー攻撃とは

クリスマスツリー攻撃では、ターゲットデバイスに関する重要な情報を含む、特別に細工されたTCPパケットがネットワーク上のデバイスへ向けて送信されます。この手法でパケットを作成すると、多くのTCPフラグが同時に有効化され、通常ではあり得ないパケット状態が発生します。これにより、相手側システムの挙動や構成情報が露呈する可能性があります。

Xmasスキャンを実行するコマンド

NmapでXmasスキャンを実行する場合は、次のコマンドを使用します。

nmap -sX [ターゲットIPアドレス]

-sX オプションを指定するだけで、FIN・PSH・URGの各フラグが設定されたパケットによるスキャンが実行されます。

NULL・FIN・Xmasスキャンが使われる理由

これらのスキャン手法は、SYNビットを設定しないという共通の特徴を持っています。そのため、一部のファイアウォールやフィルタリングルールを素通りできる可能性があります。SYNスキャンと比べて若干のステルス性が得られる点も利点です。

ただし注意が必要です。近年のIDS（侵入検知システム）製品の多くは、これらのスキャンを検出するよう設定可能になっています。そのため、常に検知を回避できると過信するのは危険です。

NmapのNULLスキャンとは

NULLスキャンは、攻撃者が標的マシンのポートが閉じているかどうかを確認するために用いる手法です。TCPヘッダー情報を一切含まないセグメントを送信し、不正なパケットを生成させることで、相手の応答からポートの状態を推測します。

NULLスキャンの目的

NULLスキャンは、倫理的なハッカー（ペネトレーションテスター）と悪意のある攻撃者の双方によって、リッスン状態にあるTCPポートを特定するために使用されます。

セキュリティ診断の観点では、サーバーに存在する脆弱性や、パッチ適用が必要な箇所を洗い出すのに役立ちます。一方で、悪意のある第三者の手に渡れば、攻撃の下調べを行う偵察ツールとして機能します。本質的には、「攻撃の予兆があるかどうか」を探るためのプローブ（探査）手段と言えるでしょう。

まとめ

Xmasスキャンは、TCPの複数フラグを活用したポートスキャン手法であり、Nmapの -sX オプションで簡単に実行できます。NULLスキャンやFINスキャンとともに、SYNフラグを使わないステルス性の高いスキャンとして知られていますが、現代のIDS/IPS環境では検出されるケースも増えています。ネットワーク管理者としては、こうしたスキャン手法への応答パターンを理解し、ログ監視やIDS設定を適切に行うことが、堅牢なセキュリティ運用につながります。