NTP
Network Time Protocol
NTP（ネットワーク時刻同期プロトコル）とは
ひとことで
ネットワーク経由で機器の時刻を正確に同期するためのプロトコル（UDP 123番ポート）。ログの時系列分析や、Kerberos認証など正確な時刻を前提とする仕組みを支える。
たとえると
全員の腕時計を同じ時報に合わせるようなものです。ミステリーで登場人物の時計がばらばらだと、「誰がいつどこにいたか」のアリバイが崩れて、事件の順番を正しく組み立てられなくなります。
現場ではこう使う
SIEMでインシデントの流れを調べたところ、ファイアウォールのログだけが他の機器より7分ずれていて、「侵入より前に外部への通信が起きている」ように見えていました。原因はファイアウォールの時刻がNTPサーバーと同期されていなかったことでした。全機器を社内のNTPサーバーに同期させ、正しいタイムラインを作り直しました。
試験のポイント
EXAM POINT「ログの時刻がずれている」「タイムラインが作れない」「相関分析がうまくいかない」と出てきたら、NTPによる時刻同期が答えになることが多いです。NTPはUDP 123番ポートを使います。時刻がずれるとKerberos認証が失敗することや、NTPサーバーがDDoSの増幅攻撃に悪用されうることも押さえておきましょう。
混同しやすい用語との違い
- Syslogログを送受信する仕組み。時刻の同期は行わない
- SIEMログを相関分析するが、機器の時刻がずれていると正しい順序で分析できない