itLinkedInPocketCopy今回はITパスポートの攻撃手法について見ていきましょう。攻撃手法・まとめ様々な攻撃手法ウイルス以外にも攻撃者はあらゆる手段を用いてPCやスマホなどIT機器を扱う人に対して攻撃を仕掛けます。動機としては個人情報の盗取や個人的な恨みによる営業妨害、愉快犯など多様ですが、明日は我が身、どこから攻撃されるかわからないので一通り攻撃方法を知ったうえで対策を立てておく必要があります。試験で取り扱われる攻撃や、実際によく聞く攻撃手法を紹介していきます。フィッシングフィッシングは釣り上げると言う意味ですが、その名の通り、オイシイ情報やこのままではアブナイと思わせる虚偽の情報をもとにユーザを騙し個人情報を盗む一連の手法を指します。「懸賞金に当たりました!本日中に以下のURLをクリックして入金先の口座を入力してください」「あなたのパスワードが流失しています、以下のURLから個人情報を入力して変更してください」と言ったようなものが該当します。「警告!お使いのPCは・・・」などと表示されると慌ててクリックしてしまう方も多いですよね。ソーシャルエンジニアリングソーシャルエンジニアリングとはシステムを介さず、アナログ的に人間関係などを利用して攻撃する手法です。新入社員に対してその会社の役員を名乗る人から「出張中にPWを忘れてしまったから教えてくれ」などと言った攻撃はこれに該当します。一時流行ったオレオレ詐欺もこの一種ですね。キューなんで聞いてもらえんかったんやろ・・・モナ日頃の行いだニャ標的型攻撃ソーシャルエンジニアリングと同じように特定の人に心理的に人間関係を利用してくる手法として標的型攻撃もあります。こちらは特定の取引先や関連企業を装って電子的に仕掛ける攻撃になります。文面の例として「先日の会議資料を送付します。これを参考にされたうえで、次回会議資料の作成をお願いします」の様にタイムリーな内容を仕掛け、ファイルを開いたら不正なソフトウェアが実行される、と言った具合です。モナ前回紹介したマルウェアがこれで実行されることもあるニャSQLインジェクションデータベースの多くはSQLと呼ばれるデータベース言語を用いています。Web画面の入力欄にこのSQL文の一部を入力することで、アプリケーション側が想定していない動作をしてしまうことがあり、それを狙っての攻撃です。自社サイトでユーザ情報を管理している場合そこから個人情報の流失やデータの改ざん、消去を行われる危険性があります対策としては入力フォームでは'(シングルクオーテーション)や"(ダブルクオーテーション)を無効化する処理を行う必要があり、これをサニタイジングまたはエスケープ処理と言います。XSS(クロスサイトスクリプティング)セキュリティ的に弱い点(脆弱性)があるWebサイトを攻撃者が改ざんすることで特殊なスクリプトを埋め込み、そのサイトを利用していた人の個人情報が盗まれることがあります。これをクロスサイトスクリプティングと呼びます。この攻撃はサイトの運営者ではない第三者によって行われており、サイト管理人も気づいていない可能性が非常に高いです。普段から利用されているサイトであっても改ざんされている可能性もあるため、「いつも利用しているから」と気軽に利用しているといつの間にか・・・と言った可能性も十二分に考えられます。attack)と呼びます。DoS攻撃を受けることでサーバから思うような処理が送られず、結果としてWebサイトが表示されない、提供したいサービスが提供できないと言った症状がおこり、結果として営業活動が出来ず機会損失につながることになります。セキュリティ上の欠陥や弱点全般を指します。クラッキング・・・コンピュータネットワークにつながれたシステムに不正に侵入したり破壊したりと言った不正利用の事を指します。サイバー攻撃・・・IT機器を利用して国家や企業、団体に対して攻撃を仕掛けることで、大規模な物はサイバーテロと呼ばれます。総当たり攻撃・・・別名ブルートフォースアタックとも呼ばれ、考えられる文字の組み合わせを全て試みてパスワードを突破しようとする手法です。ゼロデイ攻撃・・・ソフトウェアの弱点が見つかった際に、それの修正パッチが配られる前に狙って攻撃する事を指します。バッファオーバフロー・・・プログラムの入力用のデータ領域を超過するサイズのデータを埋め込むことで従来の動きと逸脱した動作をさせることです。パスワードリスト攻撃・・・あらかじめ用意されているIDとPWをセットにしたリストをもとに不正ログインを試みる攻撃です。同じIDとPWを複数サイトで用いている場合、1ヵ所から流失してしまうと芋づる式に不正利用されるリスクがあります。水飲み場攻撃・・・ユーザが普段利用するサイトを狙って改ざんしウイルスに感染させる手法です。XSSが無差別なのに対し、こちらは特定のユーザを狙っていることが多いです。IPスプーフィング・・・攻撃者が身元を隠したり応答パケットを攻撃対象に送ったりするために、IPヘッダに含まれる送信元IPアドレスを偽装する方法です。例題を解いて問題に慣れていきましょう。問1ログイン機能をもつWebサイトに対する,パスワードの盗聴と総当たり攻撃へのそれぞれの対策の組合せとして,最も適切なものはどれか。暗号化された通信でパスワードを送信する。シングルサインオンを利用する。暗号化された通信でパスワードを送信する。パスワードの入力試行回数を制限する。推測が難しい文字列をパスワードに設定する。シングルサインオンを利用する。推測が難しい文字列をパスワードに設定する。回答する問2情報セキュリティ上の脅威であるゼロデイ攻撃の手口を説明したものはどれか。攻撃開始から24時間以内に,攻撃対象のシステムを停止させる。潜伏期間がないウイルスによって,感染させた直後に発症させる。ソフトウェアの脆弱性への対策が公開される前に,脆弱性を悪用する。話術や盗み聞きなどによって,他人から機密情報を直ちに入手する。回答する問3脆弱性のあるIoT機器が幾つかの企業に多数設置されていた。その機器の1台にマルウェアが感染し,他の多数のIoT機器にマルウェア感染が拡大した。ある日のある時刻に,マルウェアに感染した多数のIoT機器が特定のWebサイトへ一斉に大量のアクセスを行い,Webサイトのサービスを停止に追い込んだ。このWebサイトが受けた攻撃はどれか。ソーシャルエンジニアリング回答する解説(クリックで展開)問1正解:イそれぞれの攻撃と対策法は以下のようになります。盗聴は通信経路上の情報を見られることになります。その為どんなに複雑な内容にしても平文を見られてしまってはばれてしまうので意味がありません。暗号化する必要がありますね。総当たり攻撃は考えられる限りのIDとPWを全て試す方法です。その分試行回数が何千何万にも増えるため、一定回数連続して認証に失敗した場合にしばらくログインできないようなシステムにすることで突破されにくくなります。これらを踏まえるとイが正しいですね。問2正解:ウゼロデイ攻撃は、脆弱性が発見されてからその修正プログラムが適応される前までの間に脆弱性を突いて攻撃する手法です。攻撃開始から24時間以内に,攻撃対象のシステムを停止させる。→ゼロデイは攻撃開始から24時間以内と言う意味ではありません。潜伏期間がないウイルスによって,感染させた直後に発症させる。→ゼロデイは潜伏期間が0と言う意味でもありません。ソフトウェアの脆弱性への対策が公開される前に,脆弱性を悪用する。→正しいので正解です。話術や盗み聞きなどによって,他人から機密情報を直ちに入手する。→話術や盗み聞きはゼロデイ攻撃ではありません。問3正解:ア特定のサーバに対して、複数のネットワーク上の機器から大量のリクエストを送信しサーバに負荷攻撃はDDoS攻撃でした。→説明の通り正しいので正解です。クロスサイトスクリプティング→クロスサイトスクリプティングは脆弱性のあるWebページを第三者が改ざんし、ユーザをウイルスに感染させます。パスワードとして利用されそうな単語を網羅したデータを用いてパスワードを推測する攻撃です。ソーシャルエンジニアリング→ソーシャルエンジニアリングはアナログ的に人の心情に付け込んでパスワードを取得する手法です。攻撃手法・まとめ今回は攻撃手法について学習しました。攻撃名を聞かれるものから、逆に具体的な内容や事例を問う問題も多いです。カズこのページで取り扱ってる攻撃も頻出な物ばかりだから名前はもちろん、内容や対処法も押さえておこう!次回は実際に不正なアクセスをどのように対策するかについて学習します。資格のいろは[ITパスポート]不正アクセスの対策https://www.qualification-master.work/information-technology-examination/ipass/unauthorized-access-prevention-ipass今回はITパスポートにおける不正アクセスの対策方法を学んでいきます。コメントをキャンセルメールアドレスが公開されることはありません。*ウェブサイト上に表示された文字を入力してください。TOEICを中心として効率の良い勉強法やオススメできる参考書の情報を提供しています。どの資格も筆者は受験済みで、大抵のものは取得済み(一部挑戦中)です。JavaScriptを用いて学習進捗が出来るようなページも作っているので学習の役に立てていただければなと思います。プライバシーポリシーや免責事項に関してはこちらをご覧下さい。筆者プロフィールTSと申します。このサイトと他にゲーム関連のサイトを作りながら遊んでいます。2015年に北海道大学を卒業し、社会人になるも仕事するより勉強が向いていたみたいで手あたり次第に資格を勉強。(旧セキュリティスペシャリスト)を取得。その後は開業届を提出し個人事業主をする傍ら2019年に大学院に進学し教育工学系の研究をしています。2019年はFP2級と中小企業診断士の簿記・情シス部分合格でした。TOPGoogleアカウントでログインすることで、学習状況の進捗管理や、問題の正誤情報の保持が可能となります。