平成25年度春期 システム監査技術者 午前Ⅱ 問21

攻撃手法を見分ける視点

選択肢の名称や印象だけで判断せず、問題文に示された主体・対象・目的・手順などの事実を整理し、それぞれが同じ前提で説明できるかを比較して、用語の適用範囲を慎重に確認しましょう。

この問題で問われていること

一つの観点として、記述された攻撃の成立条件に注目してください。誰が何を対象に、どの段階で何を達成しようとしているのかを抜き出し、選択肢の説明と対応するかを同じ基準で照合します。

視点

攻撃手法の区別では、名称の暗記よりも、観測された行為を構成要素に分けて読むことが重要です。主体、対象、目的、前提条件、実行の段階を整理し、問題文に明示された情報と推測を分けて扱います。

確認ポイント

• 問題文に明示された行為と、そこからの推測を分けて整理する
• 主体・対象・目的がどのように記述されているかを確認する
• 各選択肢を同じ観点で照合し、説明の対応関係を確認する

正解

ア

解説

ブルートフォース攻撃は、パスワードに使われる可能性のある文字の組合せを多数作り、認証が成功するまで試行する攻撃です。したがって、該当するのはアです。

理由

ブルートフォース攻撃は、正しいパスワードを事前に入手せず、考えられる文字や記号の組合せを順に試して認証を突破しようとする。試行する候補を広く網羅する点が特徴です。

比較

キー入力の記録はキーロガー、記録したログインシーケンスの送信はリプレイ攻撃、Cookieなどのセッション情報を盗む行為はセッションハイジャックに該当する。これらはパスワード候補を総当たりする攻撃ではありません。

選択肢ア（正解）

これは正解だよ。可能性のある文字のあらゆる組合せをパスワード候補として作り、ログインを試みる方法は、正しいパスワードを推測して認証を突破するブルートフォース攻撃に該当する。候補を総当たりする点が設問の定義と一致している。

選択肢イ

これは不正解だよ。コンピュータへのキー入力を全て記録して外部に送信する方法は、利用者が実際に入力した情報を盗み取る攻撃である。パスワード候補を組み合わせてログインを試すブルートフォース攻撃とは、情報の取得方法が異なる。

選択肢ウ

これは不正解だよ。正当な利用者のログインシーケンスを記録し、そのままサーバに送信する方法は、認証時の通信を再利用するリプレイ攻撃である。新しいパスワード候補を多数試すブルートフォース攻撃ではない。

選択肢エ

これは不正解だよ。認証成功後にCookieなどのセッション情報を盗む方法は、成立済みのセッションを不正利用する攻撃である。パスワードの候補を順に試して認証を突破するブルートフォース攻撃とは、狙う情報と手順が異なる。

学習のポイント

ブルートフォース攻撃と、入力記録・リプレイ・セッション情報窃取を区別する。