この問題の原因は、ルーターで NTP 認証が有効になっていないことです。図に示されているコマンドは、認証キーを定義して信頼済みとしてマークするだけで、NTP 認証をグローバルに、またはピアごとに有効にしません。NTP 認証をグローバルに有効にするには、ntp authenticate コマンドを使用する必要があります。ピアごとに NTP 認証を有効にするには、ntp server ip-address key key-id コマンドまたは ntp peer ip-address key key-id コマンドを使用する必要があります。ここで、key-id は ntp authentication-key コマンドで定義されたものと同じです。NTP 認証を有効にしないと、認証キーが同じかどうかに関係なく、どのデバイスでもこのルーターと時刻を同期できます。
他の選択肢が間違っている理由は以下のとおりです。
* キーは平文で設定されていましたが、これが問題の原因ではありません。キーを暗号化するには ntp authentication-key key-id md5 key [encrypted] コマンドを使用することが推奨されますが、ルーターとピアの両方で同じキーが設定されていれば、平文を使用しても NTP 認証は機能しません。
使用されたハッシュアルゴリズムは、NTPでサポートされているMD5です。MD5はNTP認証のデフォルトアルゴリズムであり、1～16文字の任意のキー長で使用できます。OpenSSLライブラリがインストールされていれば、SHAやSHA1などの他のアルゴリズムもNTPでサポートされますが、NTP認証の動作には必須ではありません。
* NTP設定の更新後、ルーターは再起動されていませんが、NTP認証を有効にするために再起動は必要ありません。NTP認証は設定コマンドを入力するとすぐに適用されるため、再起動は不要です。
参考文献：
NTPの設定
認証サポート
NTP認証について

多要素認証 (MFA) は、ユーザーがリソースにアクセスするために 2 つ以上の検証要素を提供する必要がある認証方法です。MFA では、不正なユーザーが持っていない検証手段が必要です。適切な多要素認証では、少なくとも 2 つの異なるカテゴリの要素を使用します。MFA の方法: + 知識 - 通常はパスワード - は、MFA ソリューションで最も一般的に使用されるツールです。しかし、パスワードはシンプルであるにもかかわらず、セキュリティ上の問題となり、生産性を低下させています。 + 物理的要素 - 所有要素とも呼ばれ、一時的な QR (クイックレスポンス) コードを生成する USB ドングルやポータブル デバイスなどのトークンを使用します。携帯電話は、ほとんどの状況ですぐに使用できるという利点があるため、一般的に使用されています。 + 固有の要素 - このカテゴリには、指紋、顔、網膜スキャンなどの生体認証が含まれます。技術が進歩すると、音声 ID やキーストロークメトリックなどの他の行動入力も含まれる可能性があります。固有の要素は確実に一意であり、常に存在し、安全であるため、このカテゴリは有望です。 + 位置情報と時間情報に基づく認証 - 認証システムは、GPS 座標、ネットワーク パラメータ、使用中のネットワークのメタデータ、およびデバイス認識を使用して MFA を認証できます。適応型認証では、これらのデータ ポイントを履歴またはコンテキストのユーザー データと組み合わせます。たとえば、時間要素と位置情報要素を組み合わせることで、ユーザーが 1 時間前にカリフォルニアで最後に認証されたときに、攻撃者がヨーロッパで認証しようとしていることを検出できます。 + 時間ベースのワンタイム パスワード (TOTP) - これは通常 2FA で使用されますが、最初のステップを完了するとログイン時に 2 番目のステップが動的に導入される MFA 方法であればどれでも適用できます。一時的なパス コードが SMS または電子メールで送信される 2 番目のステップまでの待ち時間は通常短く、このプロセスは幅広いユーザーとデバイスで簡単に使用できます。この方法は現在広く使用されています。 + ソーシャルメディア - この場合、ユーザーは Web サイトがログインにソーシャルメディアのユーザー名とパスワードを使用することを許可します。これにより、簡単なログイン プロセスが提供され、一般的にすべてのユーザーが利用できます。 + リスクベース認証 - 適応型多要素認証とも呼ばれるこの方法は、適応型認証と、リスクを計算して特定のログイン要求のコンテキストを観察するアルゴリズムを組み合わせたものです。この方法の目的は、重複したログインを減らし、よりユーザーフレンドリーなワークフローを提供することです。 + プッシュ型 2FA - プッシュ型 2FA は、セキュリティ層を追加し、使いやすさを向上させることで、SMS および TOTP 2FA を改善します。他の方法ではできない複数の認証要素でユーザーの身元を確認します。プッシュ型 2FA は、携帯電話や Wi-Fi などのデータ ネットワーク経由で通知を送信するため、ユーザーは 2FA 機能を使用するためにモバイル デバイスでデータ アクセスが必要です。参照: https://www.cisco.com/c/en/us/products/security/what-is-multi-factor-authentication.最も一般的な認証要素は、知識と固有のもの（指紋、顔、網膜スキャンなどの生体認証を含む）です。生体認証はモバイルデバイスでよく使用されます。
リソースへのアクセス権限を得るための認証要素。MFAは、権限のないユーザーが持ち得ない認証手段を要求する。
適切な多要素認証では、少なくとも2つの異なるカテゴリの要素を使用します。
MFAの方法：
知識（通常はパスワード）は、多要素認証（MFA）ソリューションで最も一般的に使用されるツールです。しかし、そのシンプルさにもかかわらず、パスワードはセキュリティ上の問題となり、生産性を低下させる要因となっています。
物理的要因（所有要因とも呼ばれる）では、USBドングルや携帯端末などのトークンを使用して、一時的なQRコード（クイックレスポンスコード）を生成します。携帯電話は、ほとんどの状況で容易に入手できるという利点があるため、一般的に使用されています。
+ 固有認証 - このカテゴリには、指紋、顔、網膜スキャンなどの生体認証が含まれます。技術の進歩に伴い、音声IDやキーストロークなどの行動データも含まれる可能性があります。固有認証要素は確実に固有であり、常に存在し、安全であるため、このカテゴリは将来有望です。
+ 位置情報と時間情報に基づく認証 - 認証システムは、GPS座標、ネットワークパラメータ、使用中のネットワークのメタデータ、およびデバイス認識をMFAに利用できます。適応型認証は、これらのデータポイントを履歴データやコンテキストデータと組み合わせて使用​​します。
例えば、ユーザーが1時間前にカリフォルニアで認証されていたにもかかわらず、攻撃者がヨーロッパで認証を試みている場合、時間要素と場所要素を組み合わせることでそれを検知できる可能性がある。
+ 時間ベースワンタイムパスワード（TOTP） - これは一般的に2要素認証（2FA）で使用されますが、最初のステップの完了後にログイン時に2番目のステップが動的に導入されるあらゆる多要素認証（MFA）方式に適用できます。一時的なパスコードがSMSまたはメールで送信される2番目のステップまでの待ち時間は通常短く、幅広いユーザーとデバイスで簡単に使用できます。この方式は現在広く使用されています。
+ ソーシャルメディア - この場合、ユーザーはウェブサイトがログインにソーシャルメディアのユーザー名とパスワードを使用することを許可します。これにより、簡単なログインプロセスが実現し、一般的にすべてのユーザーが利用できます。
+ リスクベース認証 - 適応型多要素認証とも呼ばれるこの方法は、適応型認証と、リスクを計算して特定のログイン要求のコンテキストを観察するアルゴリズムを組み合わせたものです。
この方法の目的は、重複したログインを減らし、よりユーザーフレンドリーなワークフローを提供することです。
+ プッシュ型2FA - プッシュ型2FAは、SMSやTOTPによる2FAよりもセキュリティ層を増やしつつ使いやすさを向上させたものです。他の方法では不可能な複数の認証要素を用いてユーザーの本人確認を行います。プッシュ型2FAは携帯電話やWi-Fiなどのデータネットワーク経由で通知を送信するため、2FA機能を使用するにはモバイル端末でデータ通信が利用できる必要があります。
参照：
最も一般的な 2 つの認証要素は、知識と固有のもの (指紋などの生体認証を含む) です。多要素認証 (MFA) は、ユーザーがリソースにアクセスするために 2 つ以上の検証要素を提供する必要がある認証方法です。MFA では、不正なユーザーが持っていない検証手段が必要です。適切な多要素認証では、少なくとも 2 つの異なるカテゴリの要素を使用します。MFA の方法: + 知識エッジ（通常はパスワード）は、MFA ソリューションで最も一般的に使用されるツールです。しかし、パスワードはシンプルであるにもかかわらず、セキュリティ上の問題となり、生産性を低下させています。+ 物理的要素（所有要素とも呼ばれる）は、USB ドングルやポータブル デバイスなどのトークンを使用して、一時的な QR（クイック レスポンス） コードを生成します。携帯電話は、ほとんどの状況ですぐに使用できるという利点があるため、一般的に使用されています。+ 固有要素 - このカテゴリには、指紋、顔、網膜スキャンなどの生体認証が含まれます。テクノロジーが進歩するにつれて、音声 ID やキーストローク メトリックなどの他の行動入力も含まれる可能性があります。固有要素は確実に一意であり、常に存在し、安全であるため、このカテゴリは有望です。+ 位置情報と時間ベース - 認証システムは、使用中のネットワークの GPS 座標、ネットワーク パラメータ、メタデータ、およびデバイス認識を MFA に使用できます。適応型認証は、これらのデータ ポイントを履歴またはコンテキストのユーザー データと組み合わせます。たとえば、時間要素と位置情報要素を組み合わせることで、ユーザーが 1 時間前にカリフォルニアで最後に認証されたときに、攻撃者がヨーロッパで認証しようとしていることを検出できます。 + 時間ベースワンタイムパスワード (TOTP) - これは通常 2FA で使用されますが、最初のステップを完了するとログイン時に動的に 2 番目のステップが導入される MFA メソッドであればどれでも適用できます。 2 番目のステップ (一時的なパスコードが SMS または電子メールで送信される) までの待ち時間は通常短く、このプロセスは幅広いユーザーとデバイスで簡単に使用できます。 この方法は現在広く使用されています。 + ソーシャルメディア - この場合、ユーザーは Web サイトがログインにソーシャルメディアのユーザー名とパスワードを使用することを許可します。 これにより、簡単なログイン プロセスが提供され、一般的にすべてのユーザーが利用できます。 + リスクベース認証 - 適応型多要素認証とも呼ばれるこの方法は、適応型認証と、リスクを計算して特定のログイン要求のコンテキストを観察するアルゴリズムを組み合わせます。 この方法の目標は、冗長なログインを減らし、よりユーザーフレンドリーなワークフローを提供することです。 + プッシュベース 2FA - プッシュベース 2FA は、使いやすさを向上させながらセキュリティのレイヤーを追加することで、SMS および TOTP 2FA を改善します。他の方法ではできない複数の認証要素でユーザーの身元を確認します。プッシュ型2FAは、携帯電話やWi-Fiなどのデータネットワーク経由で通知を送信するため、2FA機能を使用するには、ユーザーはモバイルデバイスでデータにアクセスできる必要があります。参照：https://www.cisco.com/c/en/us/products/security/what-is-multi-factor-authentication.html 最も一般的な2つの認証要素は、知識と固有の要素（指紋、顔、網膜スキャンなどの生体認証を含む。生体認証はモバイルデバイスで一般的に使用されています）です。

説明
ドメインネームシステム（DNS）は、securitytut.comのような人間が理解しやすいURLを、183.33.24.13のようなIPアドレスに変換するプロトコルです。DNSメッセージは各通信の開始時にのみ使用され、データ転送を目的としたものではないため、多くの組織はDNSトラフィックを監視して悪意のある活動を検出していません。そのため、DNSベースの攻撃は、これらの組織のネットワークに対して仕掛けられた場合、効果を発揮する可能性があります。DNSトンネリングはそのような攻撃の一つです。
DNSトンネリングの例を以下に示します。

攻撃者は、多数存在するオープンソースのDNSトンネリングキットのいずれかを、権威DNSネームサーバー（NS）と悪意のあるペイロードに組み込む。
2. 攻撃者のインフラストラクチャからIPアドレス（例：1.2.3.4）が割り当てられ、ドメイン名（例：attackerdomain.com）が登録または再利用されます。レジストラは、トップレベルドメイン（.com）のネームサーバーに対し、attackerdomain.comへのリクエストをns.attackerdomain.comに転送するよう指示します。ns.attackerdomain.comには、1.2.3.4にマッピングされたDNSレコードがあります。
3. 攻撃者は悪意のあるペイロードを使用してシステムを侵害します。目的のデータが取得されると、ペイロードはデータを32文字（0～9、AZ）の短い文字列（3KJ242AIE9、P028X977W、...）に分割してエンコードします。
4. ペイロードは、ドメイン名の一部に文字列を含む数千個の固有のDNSレコード要求を攻撃者のドメインに対して開始します（例：3KJ242AIE9.attackerdomain.com）。攻撃者の忍耐力と隠密性によっては、不審なネットワークアクティビティを避けるために、要求は数日または数か月にわたって間隔を空けて送信される場合があります。 5. 要求は再帰DNSリゾルバに転送されます。解決中に、要求は攻撃者の権威DNSネームサーバーに送信されます。 6. トンネリングキットはエンコードされた文字列を解析し、流出したデータを再構築します。 参照：https://learn-umbrella.cisco.com/i/775902-dns-tunneling/0
5. リクエストは再帰DNSリゾルバに転送されます。解決中にリクエストは攻撃者の権威DNSネームサーバーに送信されます。
6. トンネリングキットはエンコードされた文字列を解析し、流出したデータを再構築します。
ドメイン名の一部 (例: 3KJ242AIE9.attackerdomain.com)。攻撃者の忍耐力と巧妙さによっては、不審なネットワーク活動を避けるために、リクエストを数日または数か月にわたって間隔を空けて送信することができます。5. リクエストは再帰DNSリゾルバに転送されます。解決中に、リクエストは攻撃者の権威DNSネームサーバーに送信されます。6. トンネリングキットはエンコードされた文字列を解析し、流出したデータを再構築します。参照: https://learn-umbrella.cisco.com/i/775902-dns-tunneling/0